Към съдържанието
Търсене

CVE-2026-50193: FasterXML jackson-databind, отказ на услуга

6.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.13.0 until 2.14.0, a potential Denial-of-Service exists when attacker sends deeply nested JSON if (and only if) the service reads deeply nested (1000s of levels) JSON as JsonNode (ObjectMapper.readTree()) and writes out same (or modifided) node using JsonNode.toString(). This can consume significant amount of resources with concurrent relatively small requests (1000 nested arrays is 2kB). This vulnerability is fixed in 2.14.0.

Засегнати продукти

  • FasterXML jackson-databind: >= 2.10.0, < 2.14.0

Вид слабост

История

  • 23 юни 2026 Публикувано

Други уязвимости в FasterXML jackson-databind

Първоизточници

CVE-2026-50193: FasterXML jackson-databind, отказ на услуга | freedomonline.bg