Katalog CVE
CVE-2020-24750
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzyko7.33%
Percentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.6 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.pastdev.httpcomponents.configuration.JndiConfiguration.
Ocena ryzyka
Podatność może umożliwić atakującemu zdalne wykonanie kodu lub nieautoryzowany dostęp do zasobów, jeśli aplikacja używa jackson-databind z typowaniem.
Rekomendacja
Zaktualizuj jackson-databind do wersji 2.9.10.6 lub nowszej. Rozważ wyłączenie typowania lub zastosowanie bezpiecznych praktyk.
Oryginalny opis (angielski, źródło NVD)
FasterXML jackson-databind 2.x before 2.9.10.6 mishandles the interaction between serialization gadgets and typing, related to com.pastdev.httpcomponents.configuration.JndiConfiguration.