PT-2026-51602 · Unknown · Jackson-Databind

Omkhar · Publicado 2026-06-23 · Atualizado 2026-06-23 · CVE-2026-54518

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas jackson-databind versões 2.21.0 até 2.21.3 jackson-databind versões 3.0.0 até 3.1.3

Descrição A função UnwrappedPropertyHandler.processUnwrappedCreatorProperties() reproduz o JSON armazenado em buffer nos parâmetros do criador sem consultar prop.visibleInView(activeView). Enquanto o caminho padrão do criador baseado em propriedades restringe as propriedades do criador com base na visualização ativa, este caminho de reprodução de criador descompactado ignora essa verificação. Consequentemente, um parâmetro de construtor anotado com @JsonView(AdminView.class) e @JsonUnwrapped pode ser preenchido a partir de entradas JSON não confiáveis, mesmo quando uma visualização mais restritiva está ativa, potencialmente ignorando limites de autorização de gravação.

Recomendações Atualizar para a versão 2.21.4 para a linha 2.21. Atualizar para a versão 3.1.4 para a linha 3.x.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-54518

GHSA-RCQC-6CW3-H962

Produtos afetados

Jackson-Databind

Referências · 8

• https://github.com/FasterXML/jackson-databind/commit/721fa07ebbd4aab4a659a1a68940878315c3e341 · Nota
• https://github.com/FasterXML/jackson-databind/pull/5973 · Nota
• https://github.com/FasterXML/jackson-databind · Nota
• https://github.com/FasterXML/jackson-databind/security/advisories/GHSA-rcqc-6cw3-h962 · Nota
• https://github.com/FasterXML/jackson-databind/commit/d633bc038f200c1397c07f1a2b46f58e72c91eea · Nota
• https://github.com/FasterXML/jackson-databind/pull/5971 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-54518 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-rcqc-6cw3-h962 · Aviso do Fabricante