CVE-2020-11113
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 93 - wyżej niż 93% wszystkich znanych CVE
Streszczenie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.4 niewłaściwie obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.openjpa.ee.WASRegistryManagedRuntime (znanym również jako openjpa).
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do danych lub wykonania złośliwego kodu, co stanowi poważne zagrożenie dla bezpieczeństwa aplikacji korzystających z tej biblioteki.
Rekomendacja
Zaleca się aktualizację jackson-databind do wersji 2.9.10.4 lub nowszej, aby zlikwidować tę podatność.
Oryginalny opis (angielski, źródło NVD)
FasterXML jackson-databind 2.x before 2.9.10.4 mishandles the interaction between serialization gadgets and typing, related to org.apache.openjpa.ee.WASRegistryManagedRuntime (aka openjpa).