CVE-2026-19032

jackson-databind-in java.nio.file.Path üçün deserializer-i, URI sxemini məhdudlaşdırmadan hücum edən tərəf tərəfindən təmin edilən URI-ni həll edir. JDKFromStringDeserializer.NioPathHelper.deserialize metodunda etibarsız JSON-dan alınan sətir new URI(value) və daha sonra Path.of(uri) funksiyalarına ötürülür. Bu proses FileSystemNotFoundException xətası verdikdə, kod ServiceLoader<FileSystemProvider>-i sadalayır və sxemi hücum edən tərəfin seçdiyi sxemlə uyğunlaşan ilk provayder üzərində provider.getPath(uri) metodunu çağırır. Beləliklə, standart JsonMapper altında readValue zamanı etibarsız JSON istənilən qeydiyyatdan keçmiş FileSystemProvider-i seçə və idarə edə bilər, eyni zamanda provayder sinfinin yüklənməsini təmin edir. Yalnız JDK daxili provayderləri (file, jar/zipfs) mövcud olduqda, həll edilmiş yol passivdir və heç bir mount və ya şəbəkə I/O əməliyyatı baş vermir; daha ciddi təsir üçün classpath-da yan effektlərə malik üçüncü tərəf FileSystemProvider-inin olması tələb olunur. Bu problem com.fasterxml.jackson.core:jackson-databind versiya 2.8.0-dan 2.18.10-a qədər, 2.19.0-dan 2.21.6-ya qədər və 2.22.0-dan 2.22.2-yə qədər olan versiyalara, həmçinin tools.jackson.core:jackson-databind versiya 3.0.0-dan 3.1.6-ya qədər və 3.2.0-dan 3.2.2-yə qədər olan versiyalara təsir edir. İstifadəçilər 2.18.10, 2.21.6, 2.22.2, 3.1.6 və ya 3.2.2 versiyalarına yüksəltmə etməlidirlər. Versiyadan asılı olmayaraq, etibarsız JSON-dan java.nio.file.Path binding-indən qaçınmaq tövsiyə olunur.