jackson-databind: validador de tipos burlado em CVE-2026-110879
A CVE-2026-110879 é correção incompleta da CVE-2026-54512: o PolymorphicTypeValidator confere apenas a classe externa e ignora tipos genéricos e elementos de array, permitindo instanciar classes não autorizadas. Aplicações Java que usam desserialização polimórfica com esse validador estão expostas. Restrinja os tipos aceitos enquanto o projeto não se pronuncia sobre correção.
Neste artigo
Para o time técnico
- CVE
- CVE-2026-110879
- Afetados
- jackson-databind (biblioteca Java de desserialização)
- Exploração
- Divulgada
- Correção
- Correção a confirmar
Linha do tempo
Incidente aberto.
Fontes 1 fonte
- @ptdbugs @ptdbugs
