PT-2026-58288 · Unknown · Jackson-Databind

Publicado 2026-07-14 · Atualizado 2026-07-14 · CVE-2026-59888

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas jackson-databind versões 2.15.0 até 2.18.7 jackson-databind versões 2.21.0 até 2.21.3 jackson-databind versões 3.1.0 até 3.1.3

Descrição Java Records que utilizam uma PropertyNamingStrategy podem ignorar a anotação @JsonIgnore. Isso acontece porque a função POJOPropertiesCollector. removeUnwantedIgnorals() registra um componente ignorado sob seu nome implícito original antes que a função renameUsing() aplique a estratégia de nomenclatura. Consequentemente, a chave JSON renomeada pode ser atribuída ao parâmetro do construtor do Record.

Recomendações Atualizar para a versão 2.18.8 Atualizar para a versão 2.21.4 Atualizar para a versão 3.1.4

Exploit

Correção

Enumeração de Fraquezas

CWE-915

Identificadores relacionados

CVE-2026-59888

GHSA-3PJW-73GF-8QR5

Produtos afetados

Jackson-Databind

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/59xxx/CVE-2026-59888.json · Exploit
• https://github.com/FasterXML/jackson-databind/security/advisories/GHSA-3pjw-73gf-8qr5 · Nota
• https://github.com/FasterXML/jackson-databind/commit/c7c678360624da5bc7eed2152789fa522880db9d · Nota
• https://github.com/FasterXML/jackson-databind/pull/5974 · Nota
• https://github.com/FasterXML/jackson-databind/commit/baa2cdf5ca2b2717fbb88d91955d69d8651df3e4 · Nota
• https://osv.dev/vulnerability/CVE-2026-59888 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-59888 · Nota de Segurança