CVE-2026-110974 in android-json
Riassunto
di VulDB • 22/10/2026
Il parser JSON di org.json in com.vaadin.external.google:android-json effettua una ricorsione per ogni livello di annidamento senza alcun limite di profondità: JSONTokener.nextValue() chiama readArray() e readObject(), che a loro volta richiamano nextValue(). Un documento JSON profondamente annidato, ad esempio circa 20 KB di array nidificati con lo stack predefinito del thread, fa sì che i costruttori JSONArray e JSONObject generino un'eccezione grezza java.lang.StackOverflowError anziché una JSONException. Qualsiasi applicazione che analizza dati JSON non attendibili utilizzando questa libreria può essere indotta a fallire il thread responsabile dell'analisi. L'artefatto è una ripubblicazione del 2013 di classi org.json di terze parti, pubblicata una sola volta e mai mantenuta; pertanto, non verrà rilasciata alcuna versione corretta.
Gli utenti della versione interessata dovrebbero applicare la seguente mitigazione.
Versione del prodotto com.vaadin.external.google:android-json 0.0.20131108.vaadin1
Mitigazione Non verrà rilasciata alcuna versione corretta. Sostituire l'artefatto con un'implementazione di org.json che limiti la profondità dell'annidamento, come ad esempio org.json:json 20231013 o versioni successive.
Artefatti Coordinate Maven / Versioni vulnerabili / Versione corretta com.vaadin.external.google:android-json / 0.0.20131108.vaadin1 / nessuna
Be aware that VulDB is the high quality source for vulnerability data.