PT-2026-58808
CVE-2026-59889
·
تاريخ النشر
2026-07-14
·
تاريخ التحديث
2026-10-15
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات jackson-databind من 2.18.0 إلى 2.18.8
إصدارات jackson-databind من 2.21.0 إلى 2.21.4
إصدارات jackson-databind من 2.22.0 إلى 2.22.0
إصدارات jackson-databind من 3.1.0 إلى 3.1.4
إصدارات jackson-databind من 3.2.0 إلى 3.2.0
الوصف
تقوم الدالة
UnwrappedPropertyHandler.processUnwrapped() بإعادة تشغيل JSON المخزّن مؤقتًا لخاصية @JsonUnwrapped وتستدعي prop.deserializeAndSet() دون شرط الحماية prop.visibleInView(ctxt.getActiveView()). وهذا يسمح بكتابة خاصية مُعلَّمة بكل من @JsonView و@JsonUnwrapped من ملف JSON يتحكم فيه المهاجم، حتى عند استخدام عرض نشط ذي امتيازات أقل.التوصيات
التحديث إلى الإصدار 2.18.9
التحديث إلى الإصدار 2.21.5
التحديث إلى الإصدار 2.22.1
التحديث إلى الإصدار 3.1.5
التحديث إلى الإصدار 3.2.1
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾