Katalog CVE
CVE-2020-14195
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzyko4.55%
Percentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.5 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.jsecurity.realm.jndi.JndiRealmFactory (znanym jako org.jsecurity).
Ocena ryzyka
Podatność może prowadzić do zdalnego wykonania kodu lub eskalacji uprawnień, jeśli aplikacja przetwarza niezaufane dane JSON z włączonym typowaniem.
Rekomendacja
Zaktualizuj jackson-databind do wersji 2.9.10.5 lub nowszej. Rozważ wyłączenie typowania lub użycie bezpiecznych konfiguracji.
Oryginalny opis (angielski, źródło NVD)
FasterXML jackson-databind 2.x before 2.9.10.5 mishandles the interaction between serialization gadgets and typing, related to org.jsecurity.realm.jndi.JndiRealmFactory (aka org.jsecurity).