CVE-2026-71253

KrytyczneCVSS 9.8

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 20/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

W Apache Johnzon występuje podatność Unsafe Reflection — ClassConverter ładuje i statycznie inicjalizuje klasę wskazaną przez atakującego na podstawie niezaufanego JSON. Problem dotyczy wersji od 1.0.0 przed 2.2.0.

Ocena ryzyka

Atakujący może wymusić załadowanie i inicjalizację dowolnej klasy, co może prowadzić do wykonania kodu lub nieoczekiwanych efektów ubocznych. Ryzyko dotyczy aplikacji przetwarzających niezaufany JSON z użyciem Johnzon.

Rekomendacja

Zaktualizuj Apache Johnzon do wersji 1.3.1 (przestrzeń nazw javax) lub 2.2.0 (przestrzeń nazw jakarta). Nie przetwarzaj niezaufanego JSON bez odpowiednich ograniczeń.

Inne podatności w Apache Johnzon

CVE-2023-33008Średnie
Podatność w Apache Johnzon związana z deserializacją niezaufanych danych pozwala atakującemu na wprowadzenie dużych liczb w formacie JSON, co może prowadzić do powolnej konwersji i ryzyka odmowy usługi.

Oryginalny opis (angielski, źródło NVD)

Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Apache Johnzon. ClassConverter loads & static-initializes an attacker-named class from untrusted JSON. This issue affects Apache Johnzon: from 1.0.0 before 2.2.0. Users are recommended to upgrade to version 1.3.1 (javax namespace) or 2.2.0 (jakarta specification namespace), which fixes the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS