PT-2026-51595
CVE-2026-54512
·
تاريخ النشر
2026-06-23
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات jackson-databind من 2.10.0 إلى 2.18.7
إصدارات jackson-databind من 2.21.0 إلى 2.21.3
إصدارات jackson-databind من 3.1.0 إلى 3.1.3
الوصف
توجد مشكلة في
PolymorphicTypeValidator (PTV)، وهي آلية الأمان الأساسية لعملية إزالة التسلسل المتعددة الأشكال. عند تمكين الكتابة المتعددة الأشكال واحتواء معرف النوع على معلمات عامة (يُشار إليها بالحرف <)، فإن الدالة DatabindContext. resolveAndValidateGeneric() تقوم فقط بالتحقق من صحة اسم فئة الحاوية الأولي مقابل PTV المُهيأ. إذا تمت الموافقة على الحاوية، يتم تحليل سلسلة النوع القياسية الكاملة عبر TypeFactory.constructFromCanonical() وإرجاعها دون التحقق من صحة معلمات النوع المتداخلة. وهذا يسمح للمهاجم بتجاوز قائمة السماح عن طريق وضع فئة مرفوضة كمعلمة نوع عامة لحاوية مسموح بها، مثل java.util.ArrayList<com.evil.Gadget>. ثم يتم تحميل الفئة المرفوضة عبر Class.forName(name, true, loader)، وإنشاء مثيل لها، وتعبئتها بخصائص JSON التي يتحكم فيها المهاجم. وقد يؤدي ذلك إلى إنشاء مثيلات فئات تعسفية وإمكانية تنفيذ تعليمات برمجية عن بُعد دون مصادقة إذا كانت هناك فئات ذات آثار جانبية قابلة للاستغلال موجودة في مسار الفئات (classpath).التوصيات
التحديث إلى الإصدار 2.18.8.
التحديث إلى الإصدار 2.21.4.
التحديث إلى الإصدار 3.1.4.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾