CVE-2020-36182

WysokieCVSS 8.1

Opublikowano: 07/01/2021(UTC)Zaktualizowano: 25/08/2026(UTC)Przetłumaczono: 25/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

5.02%

Percentyl 92 - wyżej niż 92% wszystkich znanych CVE

Streszczenie

FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPDS.

Ocena ryzyka

Podatność może umożliwić atakującemu zdalne wykonanie kodu lub eskalację uprawnień w aplikacjach używających jackson-databind z typowaniem.

Rekomendacja

Zaktualizuj jackson-databind do wersji 2.9.10.8 lub nowszej. Rozważ wyłączenie typowania lub użycie bezpiecznej konfiguracji.

Oryginalny opis (angielski, źródło NVD)

FasterXML jackson-databind 2.x before 2.9.10.8 mishandles the interaction between serialization gadgets and typing, related to org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPDS.