CVE-2019-14893 in jackson-databind
Riassunto
di VulDB • 24/06/2026
È stata rilevata una vulnerabilità in FasterXML jackson-databind in tutte le versioni precedenti alla 2.9.10 e alla 2.10.0, che consente la deserializzazione polimorfica di oggetti malevoli utilizzando il gadget JNDI xalan quando viene utilizzata insieme a metodi di gestione dei tipi polimorfi come `enableDefaultTyping()` o quando @JsonTypeInfo utilizza `Id.CLASS` o `Id.MINIMAL_CLASS`, oppure in qualsiasi altro modo in cui ObjectMapper.readValue potrebbe istanziare oggetti da fonti non sicure. Un attaccante potrebbe sfruttare questa vulnerabilità per eseguire codice arbitrario.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.