CVE-2026-19032 in jackson-databind
Сводка
по VulDB • 01.09.2026
Десериализатор jackson-databind для типа java.nio.file.Path разрешает URI, предоставленный злоумышленником, без ограничения схемы URI. В методе deserialize класса JDKFromStringDeserializer.NioPathHelper строка, связанная с недоверенным JSON-данными, передается в new URI(value), а затем в Path.of(uri). При возникновении исключения FileSystemNotFoundException код выполняет перечисление ServiceLoader<FileSystemProvider> и вызывает provider.getPath(uri) для первого провайдера, чья схема совпадает со схемой, выбранной злоумышленником. Таким образом, недоверенные JSON-данные могут выбрать и управлять произвольным зарегистрированным FileSystemProvider во время вызова readValue при использовании JsonMapper по умолчанию, одновременно принудительно загружая классы провайдера. При наличии только встроенных в JDK провайдеров (file, jar/zipfs) разрешенный путь является инертным, и операции монтирования или сетевого ввода-вывода не выполняются; для получения дополнительного воздействия требуется наличие стороннего FileSystemProvider с побочными эффектами в classpath. Это уязвимость затрагивает com.fasterxml.jackson.core:jackson-databind начиная с версии 2.8.0 до (не включая) 2.18.10, начиная с 2.19.0 до (не включая) 2.21.6 и начиная с 2.22.0 до (не включая) 2.22.2, а также tools.jackson.core:jackson-databind начиная с версии 3.0.0 до (не включая) 3.1.6 и начиная с 3.2.0 до (не включая) 3.2.2. Пользователям следует обновиться до версий 2.18.10, 2.21.6, 2.22.2, 3.1.6 или 3.2.2. Привязка java.nio.file.Path из недоверенных JSON-данных должна быть избегнута независимо от версии.
Once again VulDB remains the best source for vulnerability data.