因此，它會受到 ALAS2023-2026-1947 公告中所提及的多個弱點影響。

    jackson-databind 包含 Jackson 資料處理器的一般用途資料繫結功能和樹狀結構模型。From 2.10.0 until 2.18.8、 2.21.4和 3.1.4，jackson-databind 的 PolymorphicTypeValidator （PTV） 是保護多態反序列化的主要安全機制。當啟用多態類型且類型識別碼包含通用參數 （亦即類型識別碼字串包含 <） 時，DatabindContext._resolveAndValidateGeneric（） 只會針對已設定的 PTV 驗證原始容器類別名稱 （< 之前的子字串）。如果容器類型獲得批准，則該方法會透過 TypeFactory.constructFromCanonical（） 剖析完整的標準類型字串，並傳回完全參數化的類型，而無需針對 PTV 驗證巢狀類型引數。然後，巢狀類型引數會在還原序列化期間解析、實例化，並填入為 Bean。因此，控制類型 ID 的攻擊者可以將拒絕的類別放置為允許容器的泛型類型參數，例如，當只有 java.util.ArrayList 被列入允許清單時，java.util.ArrayList<com.evil.Gadget> 。集裝箱通過PTV檢查;com.evil.Gadget 透過 Class.forName（name， true， loader） 載入、實例化，其屬性是從攻擊者控制的 JSON 設定的。這完全繞過明確設定的 PTV 允許清單。此弱點已在 、 2.21.4和 3.1.4中2.18.8修正。（CVE-2026-54512）

    jackson-databind 包含 Jackson 資料處理器的一般用途資料繫結功能和樹狀結構模型。From 2.10.0 until 2.18.8、 2.21.4、 3.1.4和 ，BasicPolymorphicTypeValidator.Builder.allowIfSubTypeIsArray（） 只會根據 clazz.isArray（） 將任何陣列類型列入允許清單，而不會根據設定的允許清單驗證陣列的元件 （元素） 類型。
    因此，使用 allowIfSubTypeIsArray（） 加上明確的具體類型允許清單建置的 PTV 仍允許 EvilType[]，即使 EvilType 未列入允許清單。當 Jackson 還原序列化元素且沒有每個元素類型識別碼時，它會直接實例化元件類型，而不需要進一步的 PTV 檢查，而是繞過允許清單。此弱點已在 、 2.21.4和 3.1.4中2.18.8修正。（CVE-2026-54513）

    jackson-databind 包含 Jackson 資料處理器的一般用途資料繫結功能和樹狀結構模型。From 2.0.0 until 2.18.8、 2.21.4、 3.1.4和 ，JDKFromStringDeserializer 使用新的 InetSocketAddress（host， port） 建構 InetSocketAddress，這會在還原序列化時對主機名稱輸入執行 eager DNS 名稱解析。將不受信任的 JSON 繫結至包含 InetSocketAddress 欄位的類型的應用程式，會在任何應用程式層級驗證或連線邏輯之前，在 readValue 期間發出攻擊者選擇的 DNS 查詢。此修正使用 InetSocketAddress.createUnresolved（host， port），將 DNS 延遲至明確連線。此弱點已在 、 2.21.4和 3.1.4中2.18.8修正。（CVE-2026-54514）

    jackson-databind 包含 Jackson 資料處理器的一般用途資料繫結功能和樹狀結構模型。在 2.8.02.18.92.21.53.1.4BeanDeserializerBase.createContextual（） 中，_handleByNameInclusion（） 會套用每個屬性@JsonIgnoreProperties排除項目，從而產生一個上下文還原序列化程式，其 BeanPropertyMap 已移除忽略的屬性。後續的每個屬性不區分大小寫區塊 （由 @JsonFormat（ACCEPT_CASE_INSENSITIVE_PROPERTIES） 觸發） 從 this._beanProperties （原始的未篩選的映射） 而不是contextual._beanProperties重建，然後覆寫篩選的映射 -- 還原_handleByNameInclusion剛剛移除的每個屬性。忽略的屬性再次變成可寫入。此弱點已在 、 2.21.5和 3.1.4中2.18.9修正。（CVE-2026-54515）

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Amazon Linux 2023 : jackson-databind (ALAS2023-2026-1947)

high Nessus Plugin ID 328466

版本 1.2