CVE-2026-77310 in jackson-databind
Riassunto
di VulDB • 25/08/2026
jackson-databind contiene la funzionalità di data-binding a scopo generale e il tree-model per Jackson Data Processor. Prima delle versioni 2.18.9, 2.21.5, 2.22.1, 3.1.5 e 3.2.1 sulle rispettive linee di rilascio, il ramo java.net.InetAddress di FromStringDeserializer.Std._deserialize() chiama InetAddress.getByName() su input controllato dall'attaccante, causando una risoluzione DNS eager durante la deserializzazione e consentendo server-side request forgery (SSRF) basato su DNS ed enumerazione degli host interni. Questo problema è risolto nelle versioni 2.18.9, 2.21.5, 2.22.1, 3.1.5 e 3.2.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.