PT-2026-51597 · Unknown · Jackson-Databind

Omkhar · Publicado 2026-06-23 · Atualizado 2026-06-23 · CVE-2026-54514

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas jackson-databind versões 2.0.0 até 2.18.7 jackson-databind versões 2.19.0 até 2.21.3 jackson-databind versões 3.0.0 até 3.1.3

Descrição A função JDKFromStringDeserializer constrói o InetSocketAddress utilizando new InetSocketAddress(host, port), o que desencadeia a resolução imediata de nomes DNS para entradas de hostname durante a desserialização. Quando uma aplicação vincula JSON não confiável a um tipo que contém um campo InetSocketAddress, ela emite uma consulta DNS escolhida por um invasor durante o processo readValue, ocorrendo antes de qualquer validação em nível de aplicação ou lógica de conexão. Isso pode levar ao Server-Side Request Forgery (SSRF), onde um invasor força consultas DNS externas para hostnames escolhidos a fim de realizar interações out-of-band ou sondagem de resolvedores internos.

Recomendações Atualizar para a versão 2.18.8 para versões na linha 2.18. Atualizar para a versão 2.21.4 para versões na linha 2.19 até 2.21. Atualizar para a versão 3.1.4 para versões na linha 3.x.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-54514

GHSA-HGJ6-7826-R7M5

Produtos afetados

Jackson-Databind

Referências · 7

• https://github.com/FasterXML/jackson-databind/security/advisories/GHSA-hgj6-7826-r7m5 · Nota
• https://github.com/FasterXML/jackson-databind · Nota
• https://github.com/FasterXML/jackson-databind/commit/1f5a1037b1e9e05920e755cb35f198bcd46667e4 · Nota
• https://github.com/FasterXML/jackson-databind/pull/5951 · Nota
• https://twitter.com/dailycve/status/2069546013677789431 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-hgj6-7826-r7m5 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-54514 · Nota de Segurança