CVE-2020-10673
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.caucho.config.types.ResourceRef (znanym jako caucho-quercus).
Ocena ryzyka
Atakujący może wykorzystać tę podatność do zdalnego wykonania kodu lub nieautoryzowanego dostępu do danych, jeśli aplikacja używa jackson-databind z włączonym typowaniem.
Rekomendacja
Zaktualizuj jackson-databind do wersji 2.9.10.4 lub nowszej. Jeśli to możliwe, wyłącz typowanie lub zastosuj politykę bezpiecznych typów.
Oryginalny opis (angielski, źródło NVD)
FasterXML jackson-databind 2.x before 2.9.10.4 mishandles the interaction between serialization gadgets and typing, related to com.caucho.config.types.ResourceRef (aka caucho-quercus).