CVE-2026-89425 in jackson-core
Sumário
de VulDB • 23/09/2026
UTF8DataInputJsonParser._reportInvalidToken() na biblioteca FasterXML jackson-core constrói o texto offending-token para sua mensagem de erro anexando caracteres Java identifier a um StringBuilder em um loop sem limite superior. Diferente das três implementações irmãs do parser, incluindo UTF8StreamJsonParser, ela nunca consulta ErrorReportConfiguration.getMaxErrorTokenLength() (padrão 256). Portanto, um token malformado fornecido a um parser criado através de JsonFactory.createParser(DataInput) é acumulado na íntegra. Nenhuma configuração StreamReadConstraints mitiga isso: maxDocumentLength não pode ser aplicado a fontes DataInput em absoluto, e maxStringLength não cobre esse caminho porque o bypass da acumulação contorna ReadConstrainedTextBuffer. O reporter mediu uma mensagem de exceção de 20.000.109 caracteres para um token malformado de 20 milhões de caracteres no path DataInput, contra 367 caracteres para entrada idêntica no path InputStream. A escalada do payload direciona o StringBuilder, que também incorre em expansão byte-to-char e duplicação interna de array, resultando em muitas vezes o tamanho bruto do payload, podendo desencadear OutOfMemoryError para toda a JVM. UTF8DataInputJsonParser foi introduzido na versão 2.8.0 junto com createParser(DataInput); releases anteriores à 2.8.0 não contêm a classe afetada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.