CVE-2026-77310
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2026
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
jackson-databind: Eager DNS resolution (SSRF) still present in InetAddress deserialization (Incomplete fix for CVE-2026-54514)
jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data Processor. Prior to versions 2.18.9, 2.21.5, 2.22.1, 3.1.5, and 3.2.1 on their respective release lines, the java.net.InetAddress branch of FromStringDeserializer.Std._deserialize() calls InetAddress.getByName() on attacker-controlled input, causing eager DNS resolution during deserialization and enabling DNS-based server-side request forgery and internal-host enumeration. This issue is fixed in versions 2.18.9, 2.21.5, 2.22.1, 3.1.5, and 3.2.1.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
com.fasterxml.jackson.core:jackson-databind
- Fornecedor
- FasterXML
- Produto
- com.fasterxml.jackson.core:jackson-databind
- Plataformas
- Desconhecido
- Status padrão
Desconhecido
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| >= 2.0.0, < 2.18.9 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.19.0, < 2.21.5 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 2.22.0, < 2.22.1 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
tools.jackson.core:jackson-databind
- Fornecedor
- FasterXML
- Produto
- tools.jackson.core:jackson-databind
- Plataformas
- Desconhecido
- Status padrão
Desconhecido
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| >= 3.0.0, < 3.1.5 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 3.2.0, < 3.2.1 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |