CVSS 9.0 以上
CVE-2026-110879
要約
jackson-databind は、クラス名型IDの外側のクラスを検証する一方で、ジェネリック引数の中にある攻撃者が選んだクラスを、宣言された型に違反する場合や直接の型IDとしては拒否される場合でも受け入れます。これは CVE-2026-54512 で追加されたジェネリック引数の検証を回避するもので、その修正が不完全だったものです。対象は com.fasterxml.jackson.core:jackson-databind の 2.10.0 以降と、tools.jackson.core:jackson-databind の 3.0.0 以降です。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
jackson-databindJacksonSpring
このタグの新着を RSS で受け取る: jackson-databind / Jackson / Spring(使い方)
判定の理由
- CVSS 9.0 以上