CVE-2020-35728
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 niewłaściwie obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool (znanym jako osadzony Xalan w org.glassfish.web/javax.servlet.jsp.jstl).
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do danych lub wykonania złośliwego kodu w aplikacjach korzystających z podatnej wersji biblioteki, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację jackson-databind do wersji 2.9.10.8 lub nowszej, aby usunąć tę podatność i zabezpieczyć aplikacje przed potencjalnymi atakami.
Oryginalny opis (angielski, źródło NVD)
FasterXML jackson-databind 2.x before 2.9.10.8 mishandles the interaction between serialization gadgets and typing, related to com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool (aka embedded Xalan in org.glassfish.web/javax.servlet.jsp.jstl).