PT-2026-51599
CVE-2026-54516
·
تاريخ النشر
2026-06-23
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات jackson-databind من 2.21.0 إلى 2.21.3
إصدارات jackson-databind من 3.0.0 إلى 3.1.3
الوصف
توجد مشكلة في الدالة
POJOPropertiesCollector. renameProperties() حيث يتم إعادة تسمية خاصية تحتوي على @JsonProperty(”renamed“) في دالة الاسترجاع و@JsonIgnore في دالة التعيين بدلاً من حذفها. وعند تمكين MapperFeature.INFER PROPERTY MUTATORS، يتم الاحتفاظ بالحقل الداعم الخاص. أثناء عملية إزالة التسلسل، تحدد الدالة BeanDeserializerFactory.addBeanProps() أن قيمة hasField() صحيحة، وتقوم بإنشاء كائن FieldProperty، وتجعل الحقل الداعم قابلاً للكتابة. وهذا يسمح للمهاجم بتقديم مفتاح JSON أعيدت تسميته للكتابة في الحقل الداعم مباشرةً، متجاوزًا قيد @JsonIgnore على دالة التعيين، مما يؤدي إلى التلاعب بالخاصية أو التعيين الجماعي.التوصيات
قم بالتحديث إلى الإصدار 2.21.4 لسلسلة الإصدارات 2.21.
قم بالتحديث إلى الإصدار 3.1.4 لسلسلة الإصدارات 3.x.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾