p PatchFirst

CVE-2026-54513

CVE-2026-54513 · jackson-databind: Array subtype allowlist bypass in BasicPolymorphicTypeValidator (allowIfSubTypeIsArray)

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

На странице показана часть фактов из источников. Полное описание и список затронутых версий приведены в связанных бюллетенях.

jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.10.0 until 2.18.8, 2.21.4, and 3.1.4, BasicPolymorphicTypeValidator.Builder.allowIfSubTypeIsArray() allowlists any array type based only on clazz.isArray(), without validating the array's component (element) type against the configured allowlist. A PTV built with allowIfSubTypeIsArray() plus an explicit concrete-type allowlist therefore still permits EvilType[] even though EvilType is not allowlisted. When Jackson deserializes the elements and no per-element type IDs are present, it instantiates the component type directly with no further PTV check, bypassing the allowlist. This vulnerability is fixed in 2.18.8, 2.21.4, and 3.1.4.

CVSS 8.1 · Высокий · EPSS 1,2% · Есть исправление

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • jackson-databind

    Версии
    • >= 2.10.0, < 2.18.8: Затронуто
    • >= 2.19.0, < 2.21.4: Затронуто
    • >= 3.0.0, < 3.1.4: Затронуто

    Нет опубликованного исправления

  • jackson-databind Debian:12

    Версии
    • 2.14.0+ds-1
    • 2.14.0+ds-2
    • 2.14.0+ds-3
    • 2.14.0-1
    • 2.14.0-1+deb12u1
    • 2.18.11-1
    • 2.22.4-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • jackson-databind Debian:13

    Версии
    • 2.14.0+ds-1
    • 2.14.0+ds-1+deb13u1
    • 2.14.0+ds-2
    • 2.14.0+ds-3
    • 2.18.11-1
    • 2.22.4-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • jackson-databind Debian:14

    Версии
    • 2.14.0+ds-1
    • 2.14.0+ds-2
    • 2.14.0+ds-3
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.18.11-1

    Обновитесь до 2.18.11-1

  • jackson-databind Ubuntu:Pro:14.04:LTS

    Версии
    • 2.2.2-1
    • 2.2.2-1ubuntu0.1~esm1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • jackson-databind Ubuntu:Pro:16.04:LTS

    Версии
    • 2.4.2-2
    • 2.4.2-3
    • 2.4.2-3ubuntu0.1~esm1
    • 2.4.2-3ubuntu0.1~esm2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • jackson-databind Ubuntu:18.04:LTS

    Версии
    • 2.8.6-1
    • 2.9.1-1
    • 2.9.4-1
    • 2.9.5-1
    • 2.9.8-1~18.04
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • jackson-databind Ubuntu:20.04:LTS

    Версии
    • 2.9.9.3-1
    • 2.10.0-2
    • 2.10.1-1
    • 2.10.2-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • jackson-databind Ubuntu:22.04:LTS

    Версии
    • 2.12.1-1
    • 2.12.5-1
    • 2.13.0-1
    • 2.13.0-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • jackson-databind Ubuntu:24.04:LTS

    Версии
    • 2.14.0-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • jackson-databind Ubuntu:25.10

    Версии
    • 2.14.0+ds-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • jackson-databind Ubuntu:26.10

    Версии
    • 2.14.0+ds-1build1
    • 2.14.0+ds-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • jackson-databind Ubuntu:26.04:LTS

    Версии
    • 2.14.0+ds-1
    • 2.14.0+ds-1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →