CVE-2026-54513

Nome do Software Vulnerável e Versões Afetadas jackson-databind versões 2.10.0 até 2.18.7 jackson-databind versões 2.19.0 até 2.21.3 jackson-databind versões 3.0.0 até 3.1.3

Description A função BasicPolymorphicTypeValidator.Builder.allowIfSubTypeIsArray() permite qualquer tipo de array baseando-se apenas em clazz.isArray(), sem validar o tipo do componente (elemento) do array em relação à lista de permissões configurada. Isso permite que um invasor que controle a entrada JSON instancie tipos não permitidos por meio de um wrapper de array, ignorando as proteções pretendidas pelo Polymorphic Type Validator (PTV) e reintroduzindo o risco de instanciação de gadgets. Isso ocorre porque, quando o Jackson desserializa elementos sem IDs de tipo por elemento, ele instancia o tipo do componente diretamente, sem verificações adicionais do PTV.

Recommendations Atualizar para a versão 2.18.8 Atualizar para a versão 2.21.4 Atualizar para a versão 3.1.4