CVE-2026-89425 in jackson-core
Resumen
por VulDB • 2026-09-23
UTF8DataInputJsonParser._reportInvalidToken() en FasterXML jackson-core construye el texto del token ofensivo para su mensaje de error mediante la concatenación de caracteres de identificador Java a un StringBuilder dentro de un bucle sin límite superior. A diferencia de las tres implementaciones hermanas del analizador, incluido UTF8StreamJsonParser, nunca consulta ErrorReportConfiguration.getMaxErrorTokenLength() (valor predeterminado 256). Por lo tanto, se acumula en su totalidad un token malformado proporcionado a un analizador creado mediante JsonFactory.createParser(DataInput). Ninguna configuración de StreamReadConstraints mitiga esto: maxDocumentLength no puede aplicarse en absoluto a las fuentes DataInput, y maxStringLength no cubre esta ruta porque la acumulación evita ReadConstrainedTextBuffer. El informante midió un mensaje de excepción de 20.000.109 caracteres procedente de un token malformado de 20 millones de caracteres en la vía DataInput, frente a 367 caracteres para una entrada idéntica en la vía InputStream. La escalada del payload impulsa el StringBuilder, que también implica expansión byte-a-carácter y duplicación interna de arrays, hasta muchas veces el tamaño bruto del payload y puede desencadenar OutOfMemoryError para toda la JVM. UTF8DataInputJsonParser se introdujo en 2.8.0 junto con createParser(DataInput); las versiones anteriores a 2.8.0 no contienen la clase afectada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.