Skip to content
OpenAdvisories
High WID-SEC-2026-2058 8 CVEs

FasterXML Jackson: Mehrere Schwachstellen

Published Jun 23, 2026 · Updated Nov 11, 2026 · Revision 39 · de

Vendor: Dell Vendor: FasterXML Vendor: Fedora Vendor: IBM Vendor: NETAPP Vendor: Oracle Vendor: Red Hat Vendor: RESF Vendor: SUSE Product: ActiveIQ Unified Manager Product: App Connect Enterprise Product: Business Automation Workflow Product: Enterprise Linux Product: Integration Bus Product: Jackson Product: Linux Product: Linux Product: Linux Product: MQ Product: openshift Product: openSUSE Product: Operational Decision Manager Product: QRadar SIEM Product: Rocky Linux Product: Secure Connect Gateway Product: SPSS Product: Tivoli Network Manager Platform: Linux Platform: Windows

Summary

Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in FasterXML Jackson ausnutzen, um Schutzmechanismen und Autorisierungsregeln zu umgehen, Daten zu manipulieren, Informationen offenzulegen oder einen Denial-of-Service zu verursachen.

Product

Jackson ist eine quelloffene Bibliothek zur JSON-Verarbeitung in Java.

Vulnerabilities 8

  • High 8.1
    CVE-2026-54512 Public exploit

    jackson-databind: PolymorphicTypeValidator bypass via generic type parameters allows arbitrary class instantiation

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.10.0 until 2.18.8, 2.21.4, and 3.1.4, jackson-databind's PolymorphicTypeValidator (PTV) is the primary safety mechanism guarding polymor…

    FasterXML jackson-databind druid thingsboard-tb-node Debian Ubuntu Wolfi Maven
  • High 8.1
    CVE-2026-54513

    jackson-databind: Array subtype allowlist bypass in BasicPolymorphicTypeValidator (allowIfSubTypeIsArray)

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.10.0 until 2.18.8, 2.21.4, and 3.1.4, BasicPolymorphicTypeValidator.Builder.allowIfSubTypeIsArray() allowlists any array type based only…

    FasterXML jackson-databind druid thingsboard-tb-node Debian Ubuntu Wolfi Maven
  • Medium 6.5
    CVE-2026-54518

    jackson-databind: @JsonView bypass for unwrapped creator parameters in jackson-databind

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.21.0 until 2.21.4 and 3.1.4, UnwrappedPropertyHandler.processUnwrappedCreatorProperties() replays buffered JSON into creator parameters …

    FasterXML jackson-databind druid thingsboard-tb-node Debian Ubuntu Wolfi Maven
  • Medium 6.3
    CVE-2026-50193

    jackson-databind: Deeply nested JsonNode throws StackOverflowError for toString()

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.13.0 until 2.14.0, a potential Denial-of-Service exists when attacker sends deeply nested JSON if (and only if) the service reads deeply…

    FasterXML jackson-databind druid celeborn-0.6 Debian Ubuntu Wolfi Maven
  • Medium 5.3
    CVE-2026-54514

    jackson-databind: InetSocketAddress deserialization triggers eager DNS resolution (SSRF)

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.0.0 until 2.18.8, 2.21.4, and 3.1.4, JDKFromStringDeserializer constructed InetSocketAddress with new InetSocketAddress(host, port), whi…

    FasterXML jackson-databind druid thingsboard-tb-node Debian Ubuntu Wolfi Maven
  • Medium 5.3
    CVE-2026-54515 Public exploit

    jackson-databind: Case-insensitive deserialization bypasses per-property @JsonIgnoreProperties

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.8.0 until 2.18.9, 2.21.5, and 3.1.4, in BeanDeserializerBase.createContextual(), per-property @JsonIgnoreProperties exclusions are appli…

    FasterXML jackson-databind druid thingsboard-tb-node Debian Ubuntu Wolfi Maven
  • Medium 5.3
    CVE-2026-54516

    jackson-databind: Renamed @JsonIgnore'd setters can deserialize via private fields

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.21.0 until 2.21.4 and 3.1.4, POJOPropertiesCollector._renameProperties() allows a property with @JsonProperty("renamed") on the getter a…

    FasterXML jackson-databind druid thingsboard-tb-node Debian Ubuntu Wolfi Maven
  • Medium 5.3
    CVE-2026-54517

    jackson-databind: @JsonView bypass for setterless creator properties

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. From 2.21.0 until 2.21.4 and 3.1.4, in BeanDeserializer._deserializeUsingPropertyBased, the active-view (@JsonView) filter was applied only to …

    FasterXML jackson-databind druid thingsboard-tb-node Debian Ubuntu Wolfi Maven

Revision history

  1. #39

    Neue Updates von Red Hat aufgenommen

  2. #38

    Neue Updates von IBM aufgenommen

  3. #37

    Neue Updates von Red Hat aufgenommen

  4. #36

    Neue Updates von NetApp aufgenommen

  5. #35

    Neue Updates von IBM aufgenommen

  6. #34

    Neue Updates von Red Hat aufgenommen

  7. #33

    Neue Updates von Red Hat und IBM aufgenommen

  8. #32

    Neue Updates von Red Hat aufgenommen

  9. #31

    Neue Updates von Red Hat aufgenommen

  10. #30

    Neue Updates von Red Hat aufgenommen

  11. #29

    Neue Updates von IBM aufgenommen

  12. #28

    Neue Updates von Red Hat aufgenommen

  13. #27

    Neue Updates von Red Hat aufgenommen

  14. #26

    Neue Updates von IBM aufgenommen

  15. #25

    Neue Updates von IBM und Red Hat aufgenommen

  16. #24

    Neue Updates von Dell und Red Hat aufgenommen

  17. #23

    Neue Updates von Red Hat aufgenommen

  18. #22

    Neue Updates von Red Hat aufgenommen

  19. #21

    Neue Updates von Red Hat aufgenommen

  20. #20

    Neue Updates von Red Hat aufgenommen

  21. #19

    Neue Updates von IBM aufgenommen

  22. #18

    Neue Updates von Red Hat aufgenommen

  23. #17

    Neue Updates von Oracle Linux aufgenommen

  24. #16

    Neue Updates von Red Hat aufgenommen

  25. #15

    Neue Updates von SUSE aufgenommen

References