CVE-2026-86511
ŚrednieCVSS 5.3Streszczenie
Podatność w java-json-tools jackson-coreutils 2.0 dotyczy funkcji BigDecimal.toPlainString w pliku src/main/java/com/github/fge/jackson/JacksonUtils.java. Manipulacja prowadzi do nadmiernego zużycia zasobów. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Projekt nie odpowiedział na zgłoszenie problemu.
Ocena ryzyka
Nadmierne zużycie zasobów może prowadzić do wyczerpania zasobów systemowych, co może skutkować odmową usługi (DoS).
Rekomendacja
Zaleca się monitorowanie informacji o poprawkach od producenta oraz ograniczenie dostępu do usług korzystających z jackson-coreutils do zaufanych źródeł.
Inne podatności w jackson-coreutils
Zobacz wszystkie- CVE-2026-86513Średnie
Podatność w java-json-tools jackson-coreutils 2.0 dotyczy funkcji TreePointer.tokensFromInput w pliku src/main/java/com/github/fge/jackson/jsonpointer/TreePointer.java w komponencie JSON Pointer parser. Manipulacja prowadzi do nadmiernego przydziału zasobów. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Projekt nie odpowiedział na zgłoszenie problemu.
- CVE-2026-86321Średnie
W java-json-tools jackson-coreutils 2.0 znaleziono podatność w funkcji JsonLoader.fromURL w pliku src/main/java/com/github/fge/jackson/JsonLoader.java, w komponencie URL Validation. Manipulacja prowadzi do podrobienia żądań po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być użyty. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in java-json-tools jackson-coreutils 2.0. Affected by this vulnerability is the function BigDecimal.toPlainString of the file src/main/java/com/github/fge/jackson/JacksonUtils.java. Performing a manipulation results in resource consumption. The attack may be initiated remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.