CVE-2026-89425 in jackson-core
Tóm tắt
Bởi VulDB • 23/09/2026
UTF8DataInputJsonParser._reportInvalidToken() trong FasterXML jackson-core xây dựng chuỗi ký tự token sai phạm cho thông báo lỗi bằng cách nối các ký tự định danh Java vào một StringBuilder trong vòng lặp không có giới hạn trên. Không giống như ba triển khai parser anh em, bao gồm UTF8StreamJsonParser, nó không bao giờ tham khảo ErrorReportConfiguration.getMaxErrorTokenLength() (mặc định là 256). Do đó, một token bị lỗi cung cấp cho trình phân tích cú pháp được tạo thông qua JsonFactory.createParser(DataInput) sẽ được tích lũy đầy đủ. Không có cài đặt StreamReadConstraints nào giảm thiểu vấn đề này: maxDocumentLength không thể áp dụng cho các nguồn DataInput nói chung, và maxStringLength không bao quát đường dẫn này vì việc tích lũy bỏ qua ReadConstrainedTextBuffer. Người báo cáo đã đo lường một thông báo ngoại lệ dài 20.000.109 ký tự từ một token bị lỗi có kích thước 20 triệu ký tự trên đường DataInput, so với 367 ký tự cho cùng đầu vào trên đường InputStream. Việc mở rộng payload sẽ đẩy StringBuilder (vốn cũng chịu chi phí chuyển đổi byte-sang-ký tự và nhân đôi mảng nội bộ) lên nhiều lần kích thước payload thô và có thể gây ra OutOfMemoryError cho toàn bộ JVM. UTF8DataInputJsonParser được giới thiệu trong phiên bản 2.8.0 cùng với createParser(DataInput); các bản phát hành trước 2.8.0 không chứa lớp bị ảnh hưởng này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.