CVE-2026-68497

Nome do Software Vulnerável e Versões Afetadas com.fasterxml.jackson.core:jackson-databind versões 2.0.0 até 2.18.9 com.fasterxml.jackson.core:jackson-databind versões 2.19.0 até 2.21.5 com.fasterxml.jackson.core:jackson-databind versões 2.22.0 até 2.22.1 tools.jackson.core:jackson-databind versões 3.0.0 até 3.1.5 tools.jackson.core:jackson-databind versões 3.2.0 até 3.2.1

Description Um problema ocorre ao vincular uma string JSON a um campo javax.xml.datatype.Duration ou javax.xml.datatype.XMLGregorianCalendar através da função CoreXMLDeserializers.Std. deserialize. O software passa a string bruta diretamente para DatatypeFactory.newDuration(value) ou newXMLGregorianCalendar(value). Como a gramática lexical do XML Schema permite componentes numéricos de comprimento arbitrário, o JDK utiliza os construtores BigInteger(String) e BigDecimal(String), que possuem complexidade quadrática em relação à contagem de dígitos. Como a entrada é tratada como uma string JSON em vez de um número JSON, a proteção StreamReadConstraints.maxNumberLength é ignorada e o desserializador de tipo de dado XML não realiza a validação de comprimento. Um invasor não autenticado pode enviar uma requisição contendo uma string com vários milhões de dígitos, causando consumo excessivo de CPU e potencialmente saturando as threads de processamento do servidor.

Recommendations Atualizar com.fasterxml.jackson.core:jackson-databind para a versão 2.18.10 Atualizar com.fasterxml.jackson.core:jackson-databind para a versão 2.21.6 Atualizar com.fasterxml.jackson.core:jackson-databind para a versão 2.22.2 Atualizar tools.jackson.core:jackson-databind para a versão 3.1.6 Atualizar tools.jackson.core:jackson-databind para a versão 3.2.2