CVE-2026-19032 in jackson-databind
Riassunto
di VulDB • 01/09/2026
Il deserializer di jackson-databind per java.nio.file.Path risolve un URI fornito dall'attaccante senza restringere lo schema dell'URI. In JDKFromStringDeserializer.NioPathHelper.deserialize, una stringa derivata da JSON non attendibile viene passata a new URI(value) e successivamente a Path.of(uri). Quando quest'ultima genera FileSystemNotFoundException, il codice enumera ServiceLoader<FileSystemProvider> e chiama provider.getPath(uri) sul primo provider lo cui schema corrisponde allo schema scelto dall'attaccante. Di conseguenza, un JSON non attendente può selezionare e controllare un qualsiasi FileSystemProvider registrato durante readValue con un JsonMapper predefinito, forzando contemporaneamente il caricamento della classe del provider. Con i soli provider built-in del JDK (file, jar/zipfs) presenti, il percorso risolto è inerte e non si verificano operazioni di mount o I/O di rete; ulteriori impatti richiedono la presenza nel classpath di un FileSystemProvider di terze parti con effetti collaterali. Questo problema interessa com.fasterxml.jackson.core:jackson-databind dalla versione 2.8.0 alla 2.18.9, da 2.19.0 a 2.21.5 e da 2.22.0 a 2.22.1, nonché tools.jackson.core:jackson-databind dalla versione 3.0.0 alla 3.1.5 e da 3.2.0 a 3.2.1. Gli utenti dovrebbero effettuare l'aggiornamento alle versioni 2.18.10, 2.21.6, 2.22.2, 3.1.6 o 3.2.2. Si sconsiglia di eseguire il binding di java.nio.file.Path da JSON non attendibile indipendentemente dalla versione utilizzata.
Be aware that VulDB is the high quality source for vulnerability data.