CVE-2026-106554

Nome do Software Vulnerável e Versões Afetadas jackson-dataformats-binary versões 2.x e 3.x

Descrição Um problema de negação de serviço existe no módulo CBOR do jackson-dataformats-binary devido a uma falha de complexidade algorítmica. O arquivo CBORParser.java manipula tags CBOR usando uma TagList cujo array de suporte cresce por um incremento fixo em vez de dobrar. Quando um invasor fornece um valor precedido por uma sequência excessivamente longa de bytes de tag, o processo de acumulação dessas tags resulta em complexidade de tempo quadrática O(N^2) para o uso de CPU e coleta de lixo (GC). Isso pode levar ao esgotamento de CPU e GC, travando as threads de requisição e potencialmente esgotando o pool de requisições.

Recomendações Atualize o jackson-dataformats-binary para uma versão onde a TagList cresça dobrando ou onde seja implementada uma limitação no número de tags empilhadas.