CVE-2026-68498

Nome do Software Vulnerável e Versões Afetadas jackson-core versões 2.16.0 até 2.18.0 jackson-core versão 3.0.0

Description Analisadores construídos sobre entrada de caracteres, como fontes Reader, String ou char[] atendidas pelo ReaderBasedJsonParser, não aplicam corretamente a restrição maxNameLength durante a acumulação de nomes de propriedades de Objetos JSON. Em vez do limite pretendido de 50.000 caracteres, o sistema utiliza a verificação maxStringLength, que permite até 100.000.000 de caracteres. Isso ocorre porque a função parseName2() acumula o nome no TextBuffer e valida apenas o maxStringLength quando um segmento é preenchido, adiando a verificação validateNameLength(int) até que todo o nome tenha sido armazenado em buffer. Um invasor remoto pode explorar isso fornecendo um nome de propriedade suficientemente longo, forçando alocações de memória de aproximadamente 200 MB por requisição, o que pode levar ao esgotamento do heap e ao travamento do processo. Este problema é explorável em configurações padrão, pois o maxDocumentLength vem desativado por padrão. Analisadores de entrada de bytes não são afetados.

Recommendations Atualize o jackson-core para a versão 2.18.1 ou posterior. Atualize o jackson-core para uma versão posterior à 3.0.0. Como mitigação temporária, evite analisar JSON não confiável a partir de fontes String, Reader ou char[] e utilize bytes UTF-8 brutos.