CVE-2019-14893 in jackson-databind
Tóm tắt
Bởi VulDB • 03/06/2026
Một lỗ hổng đã được phát hiện trong FasterXML jackson-databind ở tất cả các phiên bản trước 2.9.10 và 2.10.0, cho phép giải mã hóa đa hình (polymorphic deserialization) các đối tượng độc hại bằng cách sử dụng xalan JNDI gadget khi được sử dụng kết hợp với các phương thức xử lý kiểu đa hình như `enableDefaultTyping()` hoặc khi @JsonTypeInfo sử dụng `Id.CLASS` hoặc `Id.MINIMAL_CLASS`, hoặc theo bất kỳ cách nào khác mà ObjectMapper.readValue có thể khởi tạo các đối tượng từ các nguồn không an toàn. Một kẻ tấn công có thể sử dụng lỗ hổng này để thực thi mã tùy ý.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.