CVE-2026-91776 in jackson-databind
Sumário
de VulDB • 23/09/2026
O método TypeDeserializerBase._findDeserializer() do jackson-databind da FasterXML armazena em cache o desserializador resolvido sob o ID de tipo bruto, fornecido pelo atacante. Quando a polimorfismo baseado em nome é configurado com um fallback (por exemplo, @JsonTypeInfo(use = Id.NAME, defaultImpl = ...)), cada ID de tipo não reconhecido distinto resolve-se para o mesmo desserializador de fallback, mas é retido como sua própria chave no mapa _deserializers. Esse mapa não possui limite configurável e persiste durante toda a vida útil do desserializador de tipos; portanto, um atacante que consegue fornecer repetidamente IDs de tipo desconhecidos novos causa retenção monótona de memória entre as solicitações. O relator observou 10.000 entradas retidas provenientes de 10.000 IDs desconhecidos distintos, em contraste com uma única entrada para um controle que repetiu o mesmo ID desconhecido pelo mesmo número de vezes, isolando a cardinalidade da chave controlada pelo atacante do volume de solicitações. A exploração requer um aplicativo que habilite polimorfismo baseado em nome com defaultImpl ou fallback equivalente, aceite IDs de tipo influenciados por atacantes e reutilize uma instância ObjectMapper de longa duração entre as solicitações. A correção impede o armazenamento em cache das resoluções de fallback para IDs não reconhecidos e limita tanto o número de entradas armazenadas em cache quanto o comprimento de um ID de tipo que pode ser armazenado em cache.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.