CVE-2026-71253
CVE-2026-71253 · Apache Johnzon: ClassConverter loads & static-initializes an attacker-named class from untrusted JSON
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Apache Johnzon. ClassConverter loads & static-initializes an attacker-named class from untrusted JSON. This issue affects Apache Johnzon: from 1.0.0 before 2.2.0. Users are recommended to upgrade to version 1.3.1 (javax namespace) or 2.2.0 (jakarta specification namespace), which fixes the issue.
CVSS 9.8 · Критический · EPSS 0,7% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
apache johnzon
- Версии
- ≥ 2.0.0, < 2.2.0: Затронуто (semver)
- ≥ 1.0.0, < 1.3.1: Затронуто (semver)
Обновитесь до 1.3.1; Обновитесь до 2.2.0