CVE-2026-54515
Təsvir
jackson-databind Jackson Data Processor-un ümumi təyinatlı verilənlərin bağlanması funksionallığını və ağac modelini ehtiva edir. 2.8.0 versiyasından 2.18.9, 2.21.5 və 3.1.4 versiyalarına qədər BeanDeserializerBase.createContextual() metodunda hər xassə üzrə @JsonIgnoreProperties istisnaları _handleByNameInclusion() tərəfindən tətbiq olunur və nəticədə BeanPropertyMap-ından ignor edilən xassələr çıxarılmış kontekstual deserializator yaradılır. Sonrakı hər xassə üzrə registr həssaslığının olmaması bloku (@JsonFormat(ACCEPT_CASE_INSENSITIVE_PROPERTIES) ilə işə salınır) contextual._beanProperties əvəzinə this._beanProperties-dən (orijinal, filtrlənməmiş xəritə) yenidən qurulur və sonra filtrlənmiş xəritənin üzərinə yazılır — bununla da _handleByNameInclusion-ın yenicə çıxardığı bütün xassələr bərpa olunur. Ignor edilən xassə yenidən yazıla bilən olur. Bu zəiflik 2.18.9, 2.21.5 və 3.1.4 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- fasterxml jackson-databind2.18.9, 2.21.5, 3.1.4 və ya daha yeni versiya
- com.fasterxml.jackson.core:jackson-databind3.1.4, 2.18.9, 2.21.5, 2.22.1 və ya daha yeni versiya
- tools.jackson.core:jackson-databind3.1.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fasterxml jackson-databind | 2.8.0 ≤ v < 2.18.9, 2.19.0 ≤ v < 2.21.5, 3.0.0 ≤ v < 3.1.4, 2.22.0 | 2.18.9, 2.21.5, 3.1.4 |
| com.fasterxml.jackson.core:jackson-databindMaven | 3.1.0 ≤ v < 3.1.4, 2.8.0 ≤ v < 2.18.9, 2.19.0 ≤ v < 2.21.5, 2.22.0 ≤ v < 2.22.1 | 3.1.4, 2.18.9, 2.21.5, 2.22.1 |
| tools.jackson.core:jackson-databindMaven | 3.1.0 ≤ v < 3.1.4 | 3.1.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.