CVE-2026-59990
WysokieCVSS 7.5Streszczenie
Jawn, parser JSON, w wersjach przed 1.7.0 nie ogranicza głębokości zagnieżdżenia tablic i obiektów JSON. Zdalny atakujący może przesłać niezaufany JSON o ekstremalnym zagnieżdżeniu, wyczerpując stertę JVM i powodując błąd OutOfMemoryError, który nie jest obsługiwany przez scala.util.Try ani cats.effect.IO.
Ocena ryzyka
Aplikacje używające Jawn mogą ulec awarii lub stać się niedostępne w wyniku ataku DoS przez wyczerpanie pamięci, bez możliwości przechwycenia błędu.
Rekomendacja
Zaktualizuj Jawn do wersji 1.7.0 lub nowszej. Wprowadź limity głębokości zagnieżdżenia dla przetwarzanych danych JSON.
Inne podatności w Jawn
Zobacz wszystkie- CVE-2026-61814Wysokie
Jawn, parser JSON, w wersjach przed 1.7.0 pozwala na atak typu denial of service. AsyncParser wykonuje pracę kwadratową, gdy pojedynczy token JSON jest dostarczany w wielu małych fragmentach, ponieważ każde wywołanie absorb ponownie skanuje niekompletny token od początku. Zdalny atakujący kontrolujący dane wejściowe i rozmiary fragmentów może wyczerpać zasoby CPU.
- CVE-2026-66648Krytyczne
Nieuwierzytelniona podatność na eskalację uprawnień w wersjach Jawn do 1.4.2. Atakujący może uzyskać wyższe uprawnienia bez logowania.
Oryginalny opis (angielski, źródło NVD)
Jawn is an open source JSON parser. Prior to 1.7.0, Jawn parse methods accept arbitrarily deep JSON array and object nesting without a depth limit, allowing a remote attacker who can submit untrusted JSON to grow parser contexts until the JVM heap is exhausted. The resulting java.lang.OutOfMemoryError is a fatal Scala error that is not ordinarily handled by scala.util.Try or cats.effect.IO, causing denial of service. This issue is fixed in version 1.7.0.