Skip to content
OpenAdvisories
Medium WID-SEC-2026-3532 3 CVEs

FasterXML Jackson: Mehrere Schwachstellen ermöglichen Denial of Service

Published Sep 22, 2026 · Updated Nov 12, 2026 · Revision 18 · de

Vendor: FasterXML Vendor: Fedora Vendor: IBM Vendor: Oracle Vendor: Red Hat Vendor: RESF Vendor: SUSE Product: App Connect Enterprise Product: Enterprise Linux Product: Integration Bus Product: Jackson Product: Linux Product: Linux Product: Linux Product: openSUSE Product: Operational Decision Manager Product: QRadar SIEM Product: Rocky Linux Product: Security Verify Access Product: SPSS Platform: Windows

Summary

Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in FasterXML Jackson ausnutzen, um einen Denial of Service Angriff durchzuführen.

Product

Jackson ist eine quelloffene Bibliothek zur JSON-Verarbeitung in Java.

Vulnerabilities 3

  • High 7.5
    CVE-2026-89425

    jackson-core: UTF8DataInputJsonParser._reportInvalidToken() does not honor maxErrorTokenLength, allowing unbounded StringBuilder growth

    UTF8DataInputJsonParser._reportInvalidToken() in FasterXML jackson-core builds the offending-token text for its error message by appending Java identifier characters to a StringBuilder in a loop that has no upper bound. Unlike the three sibling parser impleme…

    FasterXML jackson-core druid thingsboard-tb-node Debian Ubuntu Wolfi Maven
  • High 7.5
    CVE-2026-91776

    jackson-databind: unbounded growth of the type id cache in TypeDeserializerBase retains every unknown raw type ID

    TypeDeserializerBase._findDeserializer() in FasterXML jackson-databind caches the resolved deserializer under the raw, attacker-supplied type ID. When name-based polymorphism is configured with a fallback, for example @JsonTypeInfo(use = Id.NAME, defaultImpl …

    FasterXML jackson-databind druid thingsboard-tb-node Debian Ubuntu Wolfi Maven
  • High 7.5
    CVE-2026-91777

    jackson-databind: quadratic forward-reference completion in Collection and Map deserializers

    Forward-reference completion for @JsonIdentityInfo object IDs in FasterXML jackson-databind performs a linear scan of the pending-reference accumulator for every resolved ID. The affected paths are CollectionDeserializer.CollectionReferringAccumulator.resolve…

    FasterXML jackson-databind druid thingsboard-tb-node Debian Ubuntu Wolfi Maven

Revision history

  1. #18

    Neue Updates von Red Hat aufgenommen

  2. #17

    Neue Updates von Red Hat und Rocky Enterprise Software Foundation aufgenommen

  3. #16

    Neue Updates von IBM aufgenommen

  4. #15

    Neue Updates von IBM aufgenommen

  5. #14

    Neue Updates von IBM aufgenommen

  6. #13

    Neue Updates von Oracle Linux und Red Hat aufgenommen

  7. #12

    Neue Updates von Red Hat und IBM aufgenommen

  8. #11

    Neue Updates von Red Hat aufgenommen

  9. #10

    Neue Updates von Fedora aufgenommen

  10. #9

    Neue Updates von Red Hat aufgenommen

  11. #8

    Neue Updates von Red Hat aufgenommen

  12. #7

    Neue Updates von Rocky Enterprise Software Foundation, Red Hat, Oracle Linux und IBM aufgenommen

  13. #6

    Neue Updates von Red Hat und Rocky Enterprise Software Foundation aufgenommen

  14. #5

    Neue Updates von Red Hat und Oracle Linux aufgenommen

  15. #4

    Neue Updates von Red Hat und IBM aufgenommen

  16. #3

    Neue Updates von IBM aufgenommen

  17. #2

    Neue Updates von SUSE und openSUSE aufgenommen

  18. #1

    Initiale Fassung

References