CVE-2026-19032

jackson-databind'in java.nio.file.Path için kullandığı deserializer, URI şemasını kısıtlamadan saldırgan tarafından sağlanan bir URI'yi çözümlemektedir. JDKFromStringDeserializer.NioPathHelper.deserialize içerisinde, güvenilmeyen JSON'dan bağlanan bir dize new URI(value) ve ardından Path.of(uri) yöntemine aktarılır. Bu işlem FileSystemNotFoundException hatası verdiğinde, kod ServiceLoader<FileSystemProvider> listesini numaralandırır ve şeması saldırganın seçtiği şema ile eşleşen ilk sağlayıcı üzerinde provider.getPath(uri) metodunu çağırır. Bu nedenle, varsayılan bir JsonMapper altında readValue işlemi sırasında güvenilmeyen JSON, kayıtlı herhangi bir FileSystemProvider'ı seçip yönlendirebilir ve aynı zamanda sağlayıcı sınıfının yüklenmesini zorlayabilir. Yalnızca JDK yerleşik sağlayıcıları (file, jar/zipfs) mevcut olduğunda, çözümlenen yol etkisizdir ve herhangi bir bağlama veya ağ G/Ç işlemi gerçekleşmez; daha fazla etki için classpath üzerinde yan etkilere sahip üçüncü taraf bir FileSystemProvider gereklidir. Bu durum, com.fasterxml.jackson.core:jackson-databind'in 2.8.0 ile 2.18.10 arası, 2.19.0 ile 2.21.6 arası ve 2.22.0 ile 2.22.2 arası sürümlerini ve tools.jackson.core:jackson-databind'in 3.0.0 ile 3.1.6 arası ve 3.2.0 ile 3.2.2 arası sürümlerini etkilemektedir. Kullanıcılar 2.18.10, 2.21.6, 2.22.2, 3.1.6 veya 3.2.2 sürümlerine yükseltmelidir. Sürümden bağımsız olarak, güvenilmeyen JSON'dan java.nio.file.Path bağlamaktan kaçınılmalıdır.