CVE-2026-110974
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Parser org.json w com.vaadin.external.google:android-json powtarza raz na poziom zagnieżdżenia bez limitu głębokości: JSONTokener.nextValue() wywołuje metody readArray() i readObject(), które ponownie wywołują nextValue(). Głęboko zagnieżdżony dokument JSON, około 20 KB zagnieżdżonych tablic z domyślnym stosem wątków, powoduje, że konstruktory JSONArray i JSONObject zgłaszają surowy błąd java.lang.StackOverflowError zamiast wyjątku JSONException. Dowolna aplikacja, która analizuje niezaufany JSON za pomocą tej biblioteki, może spowodować niepowodzenie wątku wykonującego analizę. Artefakt to przepakowany pakiet klas org.json innych firm z 2013 r., opublikowany raz i nigdy nie aktualizowany, a żadna poprawiona wersja nie zostanie wydana.
Użytkownicy wersji, której dotyczy problem, powinni zastosować następujące środki zaradcze.
Wersja produktu
com.vaadin.external.google:android-json 0.0.20131108.vaadin1
Łagodzenie
Nie zostanie wydana żadna poprawiona wersja. Zastąp artefakt implementacją org.json, która ogranicza głębokość zagnieżdżenia, taką jak org.json:json 20231013 lub nowsza.
Artefakty
Współrzędne Mavena / Wersje podatne na ataki / Wersja naprawiona
com.vaadin.external.google:android-json / 0.0.20131108.vaadin1 / brak
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org