یک آسیب‌پذیری امنیتی با شناسه CVE-2026-91777 در کتابخانه محبوب FasterXML jackson-databind شناسایی شده است که شدت آن در سطح High ارزیابی شده است. این نقص امنیتی مربوط به نحوه مدیریت ارجاعات پیش‌رو (Forward-reference completion) برای شناسه‌های شیء در @JsonIdentityInfo است.
جزئیات فنی آسیب‌پذیری
در این کتابخانه، فرآیند تکمیل ارجاعات در مسیرهای CollectionDeserializer.CollectionReferringAccumulator.resolveForwardReference() و پیاده‌سازی‌های مشابه در MapDeserializer، برای هر شناسه (ID) حل شده، یک اسکن خطی (Linear Scan) روی تجمع‌کننده ارجاعات معلق انجام می‌دهد.
زمانی که یک سند JSON ابتدا تعداد N ارجاع حل‌نشده را در یک Collection یا Map ایجاد کند و سپس همان شناسه‌ها را با ترتیب معکوس تعریف نماید، پیچیدگی زمانی پردازش به شدت افزایش می‌یابد. این رفتار می‌تواند منجر به مصرف بیش از حد منابع CPU شود.
تأثیرات امنیتی
- حملات Denial of Service (DoS): مهاجم می‌تواند با ارسال داده‌های دست‌کاری شده (Crafted JSON)، باعث کند شدن شدید یا توقف کامل سرویس‌های وابسته به این کتابخانه شود.
- تأثیر بر زیرساخت‌ها: با توجه به استفاده گسترده از
jackson-databindدر اکوسیستم Java و فریم‌ورک‌هایی مانند Spring، تعداد زیادی از اپلیکیشن‌های سازمانی در معرض این ریسک قرار دارند.
