CVE-2026-89425
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Funkcja UTF8DataInputJsonParser._reportInvalidToken() w FasterXML jackson-core tworzy tekst tokenu naruszającego zasady dla komunikatu o błędzie, dołączając znaki identyfikatora Java do obiektu StringBuilder w pętli, która nie ma górnej granicy. W przeciwieństwie do trzech implementacji parsera rodzeństwa, w tym UTF8StreamJsonParser, nigdy nie konsultuje ErrorReportConfiguration.getMaxErrorTokenLength() (domyślnie 256). Zniekształcony token dostarczony do parsera utworzonego za pomocą JsonFactory.createParser(DataInput) jest zatem kumulowany w całości. Żadne ustawienie StreamReadConstraints nie łagodzi tego problemu: maxDocumentLength nie można w ogóle zastosować do źródeł DataInput, a maxStringLength nie obejmuje tej ścieżki, ponieważ akumulacja omija ReadConstrainedTextBuffer. Reporter zmierzył komunikat o wyjątku składający się z 20 000 109 znaków ze zniekształconego tokena zawierającego 20 milionów znaków w ścieżce DataInput w porównaniu z 367 znakami w przypadku identycznych danych wejściowych w ścieżce WejścieStream. Skalowanie ładunku napędza StringBuilder, co wiąże się również z rozszerzaniem bajtów na znaki i podwajaniem wewnętrznej tablicy, do wielokrotności pierwotnego rozmiaru ładunku i może wywołać błąd OutOfMemoryError dla całej maszyny JVM. UTF8DataInputJsonParser został wprowadzony w wersji 2.8.0 razem z createParser(DataInput); wydania wcześniejsze niż 2.8.0 nie zawierają klasy, której dotyczy problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org