There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data
    Processor. From 2.21.0 until 2.21.4 and 3.1.4, in BeanDeserializer._deserializeUsingPropertyBased, the
    active-view (@JsonView) filter was applied only to creator properties; the regular property-buffering
    branch performed no prop.visibleInView(activeView) check. A change making SetterlessProperty.isMerging()
    return true routed setterless Collection/Map properties through this unguarded path, so a setterless
    collection annotated with a restricted @JsonView is populated from attacker JSON even when the active view
    excludes it. This vulnerability is fixed in 2.21.4 and 3.1.4. (CVE-2026-54517)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - jackson-databind 包含 Jackson Data Processor 的一般用途資料繫結功能及樹狀結構模型。在 BeanDeserializer._deserializeUsingPropertyBased 中，從 2.21.0 until 2.21.4 和 3.1.4中，active-view （@JsonView） 篩選器僅應用於創建者屬性;常規屬性緩衝分支未執行 prop.visibleInView（activeView） 檢查。這項變更會讓 SetterlessProperty.isMerging（） 透過此不受保護的路徑傳回真正的路由無 setterless 集合/對應屬性，因此即使作用中檢視排除了它，也會從攻擊者 JSON 填入以受限制@JsonView註解的無 setter集合。此弱點已在 2.21.4 和 3.1.4 中修正。(CVE-2026-54517)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jackson-databind 包含用于 Jackson Data Processor 的通用数据绑定功能和树模型。从 until 2.21.4 和 3.1.4，在 2.21.0 BeanDeserializer._deserializeUsingPropertyBased 中，活动视图 （@JsonView） 过滤器仅应用于创建者属性;常规属性缓冲分支未执行 prop.visibleInView（activeView） 检查。通过此未受保护路径，SetterlessProperty.isMerging（） 返回 true 路由的无 setterCollection/Map 属性的变更，因此即使活动视图排除了攻击者 JSON 中填充带有受限@JsonView注释的 setterless 集合。此漏洞已在 2.21.4 和 3.1.4 中修复。(CVE-2026-54517)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 45 ホストには、FEDORA-2026-ddde3cf003 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    2.21.5 にリベースし、CVE-2026-54518、CVE-2026-54517、CVE-2026-54516、CVE-2026-54515、CVE-2026-54513CVE-2026-54512

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、0cb401f9-9f19-11f1-a655-3497f65b111b のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ジャクソンプロジェクトは次のように報告しています。
    PolymorphicTypeValidator は、ジェネリックタイプのパラメーターも検証する必要があります BasicPolymorphicTypeValidator の設定 allowIfSubTypeIsArray() は要素タイプを検証する必要があります 安全でないポリモーフィックベースのタイプのセットで java.lang.Comparable を追加 @JsonView @JsonUnwrapped フィールド/セッタープロパティに対してバイパスされる @JsonView 一部のセッターレスクリエイタープロパティに対してバイパスされます ラップされていない作成者パラメーターに対してバイパスされる@JsonView 外部タイプ ID(EXTERNAL_PROPERTY)プロパティの@JsonViewを遵守します @JsonIgnore セッターの名前を変更しましたプライベートフィールドを介して逆シリアル化する可能性があります PropertyNamingStrategy で無視される Record プロパティ@JsonIgnore 大文字と小文字を区別しない逆シリアル化は、間違った@JsonIgnorePropertiesを使用する可能性があります InetAddress の逆シリアル化時に DNS 解決を許可しない InetSocketAddress の逆シリアル化を改善 java.nio.file.Path 逆シリアル化のためにサポートされている URL スキームを制限する StreamReadConstraints 番号 len 制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。2.21.0 年から 2.21.43.1.4 年まで、BeanDeserializer._deserializeUsingPropertyBased では、アクティブビュー(@JsonView)フィルターは作成者プロパティにのみ適用されていました。通常のプロパティバッファリングブランチは、prop.visibleInView(activeView) チェックを実行しませんでした。この無防備なパスを介して、 SetterlessProperty.isMerging() が真のルーティングされたセッターレスコレクション/マッププロパティを返すようにする変更により、制限された@JsonViewで注釈が付けられたセッターレスコレクションは、アクティブビューがそれを除外する場合でも攻撃者の JSON から入力されます。この脆弱性は、2.21.4 および 3.1.4 で修正されています。(CVE-2026-54517)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Fedora 45 host has packages installed that are affected by multiple vulnerabilities as referenced in the FEDORA-2026-ddde3cf003 advisory.

    Rebase to 2.21.5 to solve the CVE-2026-54518, CVE-2026-54517, CVE-2026-54516, CVE-2026-54515,     CVE-2026-54513, CVE-2026-54512

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 0cb401f9-9f19-11f1-a655-3497f65b111b advisory.

    The Jackson project reports:
    PolymorphicTypeValidator needs to validate generic type               parameters too     BasicPolymorphicTypeValidator setting allowIfSubTypeIsArray()               should validate element type     Add java.lang.Comparable in set of unsafe polymorphic base               types     @JsonView by-passed for @JsonUnwrapped Field/Setter               properties     @JsonView by-passed for some setterless creator               properties     @JsonView by-passed for unwrapped creator parameters     Honor @JsonView for external-type-id (EXTERNAL_PROPERTY)               properties     Renamed @JsonIgnore'd setters can deserialize via private               fields     @JsonIgnore on Record property ignored with               PropertyNamingStrategy     Case-insensitive deserialization may use wrong               @JsonIgnoreProperties     Do not allow DNS resolution when deserializing               InetAddress     Improve InetSocketAddress deserialization     Limit the supported URL schemes for java.nio.file.Path               deserialization     Add StreamReadConstraints number len constraint to               javax.xml.datatype.XMLGregorianCalendar and               javax.xml.datatype.Duration

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data     Processor. From 2.21.0 until 2.21.4 and 3.1.4, in BeanDeserializer._deserializeUsingPropertyBased, the     active-view (@JsonView) filter was applied only to creator properties; the regular property-buffering     branch performed no prop.visibleInView(activeView) check. A change making SetterlessProperty.isMerging()     return true routed setterless Collection/Map properties through this unguarded path, so a setterless     collection annotated with a restricted @JsonView is populated from attacker JSON even when the active view     excludes it. This vulnerability is fixed in 2.21.4 and 3.1.4. (CVE-2026-54517)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443851	SCA: security update for com.fasterxml.jackson.core:jackson-databind, tools.jackson.core:jackson-databind (GHSA-5hh8-q8hv-fr38)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/24	2026/7/2	medium
443851	SCA: security update for com.fasterxml.jackson.core:jackson-databind, tools.jackson.core:jackson-databind (GHSA-5hh8-q8hv-fr38)	Tenable Cloud Security	SCA Checks	2026/6/24	2026/7/2	medium
322427	Linux Distros 未修補弱點：CVE-2026-54517	Nessus	Misc.	2026/6/24	2026/9/7	medium
322427	Linux Distros 未修补的漏洞：CVE-2026-54517	Nessus	Misc.	2026/6/24	2026/9/7	medium
326919	Fedora 45:fasterxml-oss-parent / jackson-annotations / jackson-bom / etc(2026-ddde3cf003)	Nessus	Fedora Local Security Checks	2026/7/15	2026/7/15	high
339070	FreeBSD:jackson-databind -- 複数の脆弱性(0cb401f9-9f19-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/8/24	2026/8/24	high
322427	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54517	Nessus	Misc.	2026/6/24	2026/9/7	medium
326919	Fedora 45 : fasterxml-oss-parent / jackson-annotations / jackson-bom / etc (2026-ddde3cf003)	Nessus	Fedora Local Security Checks	2026/7/15	2026/7/15	high
339070	FreeBSD : jackson-databind -- multiple vulnerabilities (0cb401f9-9f19-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/8/24	2026/8/24	high
322427	Linux Distros Unpatched Vulnerability : CVE-2026-54517	Nessus	Misc.	2026/6/24	2026/9/7	medium

检测

插件搜索

medium

medium

medium

medium

high

high

medium

high

high

medium