PT-2026-97134
CVE-2026-91777
·
Publicado
2026-09-23
·
Atualizado
2026-10-30
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas
FasterXML jackson-databind (versões afetadas não especificadas)
Description
A conclusão de referência direta para IDs de objeto
@JsonIdentityInfo realiza uma varredura linear do acumulador de referências pendentes para cada ID resolvido. Isso ocorre na função CollectionDeserializer.CollectionReferringAccumulator.resolveForwardReference() e na implementação correspondente em MapDeserializer. Se um documento cria N referências de ID de objeto não resolvidas em uma coleção ou mapa habilitado por identidade e, posteriormente, define esses IDs em ordem inversa, o sistema executa um trabalho de CPU quadrático durante a desserialização. Isso permite que um documento raso cause consumo excessivo de CPU por meio de um grande número de comparações de identidade.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾