Podatności jackson-core

W bibliotece FasterXML jackson-core metoda NumberInput.looksLikeValidNumber() używa wyrażeń regularnych do walidacji liczb w formie tekstowej. Z powodu nakładających się kwantyfikatorów w wyrażeniu PATTERN_FLOAT czas dopasowania rośnie kwadratowo wraz z długością danych wejściowych. Atakujący może przesłać odpowiednio długi łańcuch JSON, który zostanie poddany konwersji na typ liczbowy, powodując wyczerpanie wątków serwera.

Poprawka dla CVE-2026-18401 w jackson-core jest niekompletna i pozostawia lukę w parserze nieblokującym. Atakujący może wysyłać JSON w małych fragmentach bez znaku końca, powodując nieograniczony wzrost bufora pamięci, ograniczonego jedynie przez maxStringLength (20 MiB) zamiast maxNumberLength (1000).

Asynchroniczny (nieblokujący) parser JSON w jackson-core nie egzekwuje ograniczenia maxNumberLength (domyślnie 1000 znaków) zdefiniowanego w StreamReadConstraints. Atakujący może przesłać token liczbowy o dowolnej długości, co prowadzi do nadmiernej alokacji pamięci i potencjalnego wyczerpania CPU, powodując odmowę usługi (DoS). Problem dotyczy wersji 2.15.0–2.18.5 oraz 2.19.0–2.21.0 dla jackson-core, a także 3.0.0–3.0.x dla tools.jackson.core.

W bibliotece jackson-core w wersjach od 3.0.0 do 3.1.0 wykryto podatność polegającą na pomijaniu ograniczenia maksymalnej głębokości zagnieżdżenia (domyślnie 500) przez parser UTF8DataInputJsonParser oraz ReaderBasedJsonParser. Umożliwia to atakującemu dostarczenie dokumentu JSON o nadmiernym zagnieżdżeniu, co prowadzi do błędu StackOverflowError i odmowy usługi (DoS). Problem został naprawiony w wersji 3.1.0.