CVE-2026-91776

TypeDeserializerBase._findDeserializer() w FasterXML jackson-databind buforuje rozwiązany deserializator pod surowym identyfikatorem typu dostarczonym przez osobę atakującą. Gdy polimorfizm oparty na nazwach jest skonfigurowany z rezerwą, na przykład @JsonTypeInfo(use = Id.NAME, defaultImpl = ...), każdy odrębny nierozpoznany identyfikator typu jest rozpoznawany przez ten sam rezerwowy deserializator, ale jest zachowywany jako własny klucz na mapie _deserializers. Ta mapa nie ma konfigurowalnych ograniczeń i działa przez cały okres istnienia deserializatora typu, więc osoba atakująca, która może wielokrotnie dostarczać nowe nieznane identyfikatory typu, powoduje monotoniczne przechowywanie pamięci w przypadku żądań. Reporter zaobserwował 10 000 zatrzymanych wpisów z 10 000 różnych nieznanych identyfikatorów w porównaniu z jednym wpisem dla kontroli, która powtarzała jeden nieznany identyfikator tę samą liczbę razy, izolując kontrolowaną przez atakującego liczność kluczy od liczby żądań. Eksploatacja wymaga aplikacji, która umożliwia polimorfizm oparty na nazwach z domyślnym Impl lub równoważnym rozwiązaniem awaryjnym, akceptuje identyfikatory typów pod wpływem atakującego i ponownie wykorzystuje długotrwały obiekt ObjectMapper w żądaniach. Poprawka zatrzymuje buforowanie rozwiązań awaryjnych dla nierozpoznanych identyfikatorów i ogranicza zarówno liczbę wpisów w pamięci podręcznej, jak i długość identyfikatora typu buforowanego.