Aller au contenu
en Se connecter
8.1 Élevée

CVE-2026-54513 jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor

Description

jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.10.0 until 2.18.8, 2.21.4, and 3.1.4, BasicPolymorphicTypeValidator.Builder.allowIfSubTypeIsArray() allowlists any array type based only on clazz.isArray(), without validating the array's component (element) type against the configured allowlist. A PTV built with allowIfSubTypeIsArray() plus an explicit concrete-type allowlist therefore still permits EvilType[] even though EvilType is not allowlisted. When Jackson deserializes the elements and no per-element type IDs are present, it instantiates the component type directly with no further PTV check, bypassing the allowlist. This vulnerability is fixed in 2.18.8, 2.21.4, and 3.1.4.

Produits et versions touchés

Produit Versions touchées Corrigé en
jackson-databind 3.0 3.0.0 → < 3.1.4 3.1.4
jackson-databind 2.19 2.19.0 → < 2.21.4 2.21.4
jackson-databind 2.10 2.10.0 → < 2.18.8 2.18.8
Red Hat Certificate System 10 Versions non publiées
Red Hat Enterprise Linux 10 Versions non publiées
Red Hat Enterprise Linux 8 8100020260714102233.489197 premières → < 8100020260714102233.489197e6 8100020260714102233.489197e6
Red Hat Enterprise Linux 9 Versions non publiées
Red Hat build of Quarkus Versions non publiées
Cryostat 4 Versions non publiées
Afficher les 48 autres branches
Produit Versions touchées Corrigé en
Red Hat AMQ Broker 7 Versions non publiées
Red Hat AMQ Clients Versions non publiées
Red Hat build of Apache Camel - HawtIO 4 Versions non publiées
Red Hat build of Apache Camel 4 for Quarkus 3 Versions non publiées
Red Hat build of Apache Camel for Spring Boot 4 Versions non publiées
Red Hat build of Apicurio Registry 3 Versions non publiées
Red Hat build of Debezium 3 Versions non publiées
Red Hat Build of Keycloak Versions non publiées
Red Hat Data Grid 8 Versions non publiées
Red Hat JBoss Enterprise Application Platform 7 Versions non publiées
Red Hat JBoss Enterprise Application Platform 8 Versions non publiées
Red Hat JBoss Enterprise Application Platform Expansion Pack Versions non publiées
Red Hat Single Sign-On 7 Versions non publiées
streams for Apache Kafka 2 Versions non publiées
streams for Apache Kafka 3 Versions non publiées
OpenShift Developer Tools and Services Versions non publiées
OpenShift Serverless Versions non publiées
Red Hat AI Inference Server Versions non publiées
Red Hat Ansible Automation Platform 2 Versions non publiées
Red Hat Enterprise Linux AI (RHEL AI) 3 Versions non publiées
Red Hat Lightspeed for Runtimes Operator Versions non publiées
Red Hat Offline Knowledge Portal Versions non publiées
Red Hat OpenShift AI (RHOAI) Versions non publiées
Red Hat OpenShift Dev Spaces Versions non publiées
Red Hat Satellite 6 Versions non publiées
Red Hat Build of Apache Camel 4.18 for Quarkus 3.33 Versions non publiées
Red Hat Data Grid 8.6.2 Versions non publiées
Red Hat Enterprise Linux 10.0 Extended Update Support Versions non publiées
Red Hat Enterprise Linux 8.4 Advanced Mission Critical Update Support 8040020260720064222.522 premières → < 8040020260720064222.522a0ee4 8040020260720064222.522a0ee4
Red Hat Enterprise Linux 8.4 Extended Update Support Long-Life Add-On 8040020260720064222.522 premières → < 8040020260720064222.522a0ee4 8040020260720064222.522a0ee4
Red Hat Enterprise Linux 8.6 Advanced Mission Critical Update Support 8060020260720025549 premières → < 8060020260720025549.ad008a3a 8060020260720025549.ad008a3a
Red Hat Enterprise Linux 8.6 Extended Update Support Long-Life Add-On 8060020260720025549 premières → < 8060020260720025549.ad008a3a 8060020260720025549.ad008a3a
Red Hat Enterprise Linux 8.8 Telecommunications Update Service 8080020260714161755.63 premières → < 8080020260714161755.63b34585 8080020260714161755.63b34585
Red Hat Enterprise Linux 8.8 Update Services for SAP Solutions 8080020260714161755.63 premières → < 8080020260714161755.63b34585 8080020260714161755.63b34585
Red Hat Enterprise Linux 9.2 Update Services for SAP Solutions Versions non publiées
Red Hat Enterprise Linux 9.4 Update Services for SAP Solutions Versions non publiées
Red Hat Enterprise Linux 9.6 Extended Update Support Versions non publiées
Cryostat 4 on RHEL 9 4.2 premières → < 4.2.0-13 4.2.0-13
Red Hat build of Keycloak 26.4 26.4 premières → < 26.4-22 26.4-22
Red Hat build of Keycloak 26.4.14 Versions non publiées
Red Hat build of Keycloak 26.6 26.6 premières → < 26.6-11 26.6-11
Red Hat build of Keycloak 26.6.5 Versions non publiées
Red Hat Certificate System 10.8 for RHEL-8 8100020260728001635 premières → < 8100020260728001635.f9354743 8100020260728001635.f9354743
Red Hat build of Apache Camel 4.18.3 for Spring Boot 3.5.16 Versions non publiées
Streams for Apache Kafka 3.2.1 Versions non publiées
Red Hat OpenShift Dev Spaces 3.30 1787759723 premières → < 1787759723 1787759723
Red Hat AMQ Broker 7.13.6 Versions non publiées
Red Hat AMQ Broker 7.14.1 Versions non publiées

Références

Chronologie

  1. Publiée
  2. Dernière modification

Autres CVE de jackson-databind

Les 30 CVE de jackson-databind →
CVE-2026-110879 jackson-databind validates the outer class of a class-name type ID but accepts attacker-selected classes inside its… 9.8 Critique CVE-2026-91777 Forward-reference completion for @JsonIdentityInfo object IDs in FasterXML jackson-databind performs a linear scan of… 7.5 Élevée CVE-2026-91776 TypeDeserializerBase._findDeserializer() in FasterXML jackson-databind caches the resolved deserializer under the raw,… 7.5 Élevée CVE-2026-68497 jackson-databind binds a JSON string to a javax.xml.datatype.Duration or javax.xml.datatype.XMLGregorianCalendar field… 7.5 Élevée
Suivre cette CVE