CVE-2026-110974

com.vaadin.external.google:android-json içerisindeki org.json ayrıştırıcısı, derinlik sınırı olmaksızın her iç içe geçme düzeyi için bir kez özyineleme yapar: JSONTokener.nextValue() metodu, tekrar nextValue() metodunu çağıran readArray() ve readObject() metodlarını çağırır. Varsayılan iş parçacığı yığınıyla yaklaşık 20 KB boyutundaki derinlemesine iç içe geçmiş diziler içeren bir JSON belgesi, JSONArray ve JSONObject kurucularının JSONException yerine ham bir java.lang.StackOverflowError fırlatmasına neden olur. Bu kütüphane ile güvenilmeyen JSON verilerini ayrıştıran herhangi bir uygulama, ayrıştırmayı yapan iş parçacığının çökmesine yol açabilir. Söz konusu bileşen, üçüncü taraf org.json sınıflarının 2013 yılında yeniden paketlenmiş halidir; bir kez yayınlanmış olup hiç bakımı yapılmamıştır ve düzeltilmiş bir sürüm yayınlanmayacaktır. Etkilenen sürümü kullanan kullanıcılar aşağıdaki hafifletme yöntemini uygulamalıdır. Ürün sürümü com.vaadin.external.google:android-json 0.0.20131108.vaadin1 Hafifletme Düzeltilmiş bir sürüm yayınlanmayacaktır. Bileşeni, org.json:json 20231013 veya daha yeni sürümleri gibi iç içe geçme derinliğini sınırlayan bir org.json uygulamasıyla değiştirin. Bileşenler Maven koordinatları / Etkilenen sürümler / Düzeltilen sürüm com.vaadin.external.google:android-json / 0.0.20131108.vaadin1 / yok