CVE-2026-68498

اسم البرنامج المصاب والإصدارات المتأثرة jackson-core الإصدارات من 2.16.0 إلى 2.18.0 jackson-core الإصدار 3.0.0

Description تفشل أدوات التحليل المبنية على إدخال الأحرف، مثل مصادر Reader أو String أو char[] التي يتم تقديمها بواسطة ReaderBasedJsonParser، في تطبيق قيد maxNameLength بشكل صحيح أثناء تجميع أسماء خصائص كائنات JSON. بدلاً من الحد المقصود البالغ 50,000 حرف، يستخدم النظام فحص maxStringLength الذي يسمح بما يصل إلى 100,000,000 حرف. يحدث هذا لأن الدالة parseName2() تقوم بتجميع الاسم في TextBuffer وتتحقق فقط من maxStringLength عندما يمتلئ الجزء، مما يؤخر فحص validateNameLength(int) حتى يتم تخزين الاسم بالكامل في الذاكرة المؤقتة. يمكن للمهاجم عن بُعد استغلال ذلك من خلال تقديم اسم خاصية طويل بما يكفي، مما يجبر النظام على تخصيص ذاكرة بنحو 200 ميجابايت لكل طلب، وهو ما قد يؤدي إلى استنفاد الذاكرة (heap) وتعطل العملية. هذه الثغرة قابلة للاستغلال في الإعدادات الافتراضية لأن maxDocumentLength معطل افتراضياً. أدوات تحليل إدخال البايت غير متأثرة.

Recommendations تحديث jackson-core إلى الإصدار 2.18.1 أو أحدث. تحديث jackson-core إلى إصدار أحدث من 3.0.0. كإجراء تخفيف مؤقت، تجنب تحليل ملفات JSON غير الموثوقة من مصادر String أو Reader أو char[] واستخدم بايتات UTF-8 الخام بدلاً من ذلك.