CVE-2026-50193
Açıklama
jackson-databind, Jackson Data Processor için genel amaçlı veri bağlama işlevselliğini ve ağaç modelini içerir. 2.13.0 ile 2.14.0 sürümleri arasında, bir saldırganın derinlemesine iç içe geçmiş JSON gönderdiği durumlarda; eğer (ve yalnızca) servis, derinlemesine iç içe geçmiş (binlerce seviye) JSON'ı JsonNode (ObjectMapper.readTree()) olarak okur ve aynı (veya değiştirilmiş) düğümü JsonNode.toString() kullanarak dışarı yazarsa potansiyel bir Hizmet Reddi (Denial-of-Service) durumu oluşur. Bu durum, eşzamanlı nispeten küçük isteklerle (1000 iç içe dizi 2kB'dır) önemli miktarda kaynak tüketebilir. Bu güvenlik açığı 2.14.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- fasterxml jackson-databind2.14.0 ya da sonraki bir sürüm
- com.fasterxml.jackson.core:jackson-databind2.14.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fasterxml jackson-databind | 2.10.0 ≤ v < 2.14.0 | 2.14.0 |
| com.fasterxml.jackson.core:jackson-databindMaven | 2.10.0 ≤ v < 2.14.0 | 2.14.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.