CVE-2026-86321
ŚrednieCVSS 5.3Streszczenie
W java-json-tools jackson-coreutils 2.0 znaleziono podatność w funkcji JsonLoader.fromURL w pliku src/main/java/com/github/fge/jackson/JsonLoader.java, w komponencie URL Validation. Manipulacja prowadzi do podrobienia żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.
Ocena ryzyka
Ryzyko polega na możliwości wykonania nieautoryzowanych żądań do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub eskalacji uprawnień.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do funkcji JsonLoader.fromURL, zastosowanie listy dozwolonych adresów URL oraz monitorowanie ruchu sieciowego pod kątem podejrzanych żądań.
Inne podatności w jackson-coreutils
Zobacz wszystkie- CVE-2026-86513Średnie
Podatność w java-json-tools jackson-coreutils 2.0 dotyczy funkcji TreePointer.tokensFromInput w pliku src/main/java/com/github/fge/jackson/jsonpointer/TreePointer.java w komponencie JSON Pointer parser. Manipulacja prowadzi do nadmiernego przydziału zasobów. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Projekt nie odpowiedział na zgłoszenie problemu.
- CVE-2026-86511Średnie
Podatność w java-json-tools jackson-coreutils 2.0 dotyczy funkcji BigDecimal.toPlainString w pliku src/main/java/com/github/fge/jackson/JacksonUtils.java. Manipulacja prowadzi do nadmiernego zużycia zasobów. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Projekt nie odpowiedział na zgłoszenie problemu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in java-json-tools jackson-coreutils 2.0. Affected by this issue is the function JsonLoader.fromURL of the file src/main/java/com/github/fge/jackson/JsonLoader.java of the component URL Validation. The manipulation results in server-side request forgery. It is possible to launch the attack remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.