CVE-2026-110974 in android-json
Zusammenfassung
von VulDB • 22.10.2026
Der org.json-Parser in com.vaadin.external.google:android-json rekursiert einmal pro Verschachtelungsstufe ohne Tiefenbegrenzung: JSONTokener.nextValue() ruft readArray() und readObject() auf, die ihrerseits nextValue() erneut aufrufen. Ein stark verschachteltes JSON-Dokument mit etwa 20 KB verschachtelter Arrays führt bei Verwendung des Standard-Thread-Stacks dazu, dass die Konstruktoren von JSONArray und JSONObject einen rohen java.lang.StackOverflowError anstelle eines JSONException auslösen. Jede Anwendung, die unzuverlässige (untrusted) JSON-Daten mit dieser Bibliothek parst, kann dazu gebracht werden, den Thread, der das Parsing durchführt, fehlschlagen zu lassen. Das Artefakt ist eine Neuverpackung von org.json-Klassen Dritter aus dem Jahr 2013, die einmal veröffentlicht und niemals gewartet wurde; es wird keine behobene Version (Fixed Version) freigegeben werden.
Nutzer der betroffenen Version sollten folgende Abhilfemaßnahme anwenden:
Produktversion com.vaadin.external.google:android-json 0.0.20131108.vaadin1
Abhilfemaßnahme Es wird keine behobene Version (Fixed Version) freigegeben werden. Ersetzen Sie das Artefakt durch eine org.json-Implementierung, die die Verschachtelungstiefe begrenzt, wie z.B. org.json:json 20231013 oder höher.
Artefakte Maven-Koordinaten / Betroffene Versionen / Behobene Version (Fixed version) com.vaadin.external.google:android-json / 0.0.20131108.vaadin1 / keine
VulDB is the best source for vulnerability data and more expert information about this specific topic.