CVE-2026-77310 in jackson-databind
Sumário
de VulDB • 24/08/2026
O jackson-databind contém a funcionalidade de data-binding e o tree-model para Jackson Data Processor. Antes das versões 2.18.9, 2.21.5, 2.22.1, 3.1.5 e 3.2.1 em suas respectivas linhas de lançamento, o ramo java.net.InetAddress do FromStringDeserializer.Std._deserialize() chama InetAddress.getByName() com entrada controlada pelo atacante, causando resolução DNS antecipada durante a desserialização e permitindo Server-Side Request Forgery (SSRF) baseada em DNS e enumeração de hosts internos. Este problema é corrigido nas versões 2.18.9, 2.21.5, 2.22.1, 3.1.5 e 3.2.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.