CVE-2026-29062
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W bibliotece jackson-core w wersjach od 3.0.0 do 3.1.0 wykryto podatność polegającą na pomijaniu ograniczenia maksymalnej głębokości zagnieżdżenia (domyślnie 500) przez parser UTF8DataInputJsonParser oraz ReaderBasedJsonParser. Umożliwia to atakującemu dostarczenie dokumentu JSON o nadmiernym zagnieżdżeniu, co prowadzi do błędu StackOverflowError i odmowy usługi (DoS). Problem został naprawiony w wersji 3.1.0.
Ocena ryzyka
Organizacja narażona jest na ataki DoS, które mogą spowodować awarię aplikacji przetwarzających dane JSON, prowadząc do przerw w działaniu usług i potencjalnych strat finansowych.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę jackson-core do wersji 3.1.0 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w jackson-core
Zobacz wszystkie- CVE-2026-68494Wysokie
Poprawka dla CVE-2026-18401 w jackson-core jest niekompletna i pozostawia lukę w parserze nieblokującym. Atakujący może wysyłać JSON w małych fragmentach bez znaku końca, powodując nieograniczony wzrost bufora pamięci, ograniczonego jedynie przez maxStringLength (20 MiB) zamiast maxNumberLength (1000).
- CVE-2026-18401Średnie
Asynchroniczny (nieblokujący) parser JSON w jackson-core nie egzekwuje ograniczenia maxNumberLength (domyślnie 1000 znaków) zdefiniowanego w StreamReadConstraints. Atakujący może przesłać token liczbowy o dowolnej długości, co prowadzi do nadmiernej alokacji pamięci i potencjalnego wyczerpania CPU, powodując odmowę usługi (DoS). Problem dotyczy wersji 2.15.0–2.18.5 oraz 2.19.0–2.21.0 dla jackson-core, a także 3.0.0–3.0.x dla tools.jackson.core.
Oryginalny opis (angielski, źródło NVD)
jackson-core contains core low-level incremental ("streaming") parser and generator abstractions used by Jackson Data Processor. From version 3.0.0 to before version 3.1.0, the UTF8DataInputJsonParser, which is used when parsing from a java.io.DataInput source, bypasses the maxNestingDepth constraint (default: 500) defined in StreamReadConstraints. A similar issue was found in ReaderBasedJsonParser. This allows a user to supply a JSON document with excessive nesting, which can cause a StackOverflowError when the structure is processed, leading to a Denial of Service (DoS). This issue has been patched in version 3.1.0.