CVE-2026-91776

Nome do Software Vulnerável e Versões Afetadas jackson-databind (versões afetadas não especificadas)

Description A função findDeserializer() em TypeDeserializerBase armazena em cache os desserializadores resolvidos usando o ID de tipo bruto fornecido pelo usuário. Em configurações que utilizam polimorfismo baseado em nome com um fallback, como @JsonTypeInfo(use = Id.NAME, defaultImpl = ...), cada ID de tipo não reconhecido e único é armazenado como uma chave separada no mapa deserializers, embora todos resolvam para o mesmo desserializador de fallback. Como esse mapa não possui um limite configurável e persiste durante a vida útil do desserializador de tipo, um invasor pode causar retenção contínua de memória ao fornecer inúmeros IDs de tipo desconhecidos e únicos. Este problema ocorre quando uma aplicação habilita o polimorfismo baseado em nome com um defaultImpl ou fallback similar, aceita IDs de tipo influenciados pelo usuário e utiliza um ObjectMapper de longa duração entre as requisições.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.