There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data
    Processor. From 2.21.0 until 2.21.4 and 3.1.4, POJOPropertiesCollector._renameProperties() allows a
    property with @JsonProperty("renamed") on the getter and @JsonIgnore on the setter to be renamed rather
    than dropped. With MapperFeature.INFER_PROPERTY_MUTATORS enabled (default), the private backing field is
    retained; during deserialization BeanDeserializerFactory.addBeanProps() sees hasField()==true, builds a
    FieldProperty, and makes the backing field writable. An attacker supplying the renamed JSON key writes the
    backing field directly, bypassing the @JsonIgnore on the setter. This vulnerability is fixed in 3.1.4.
    (CVE-2026-54516)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jackson-databind 包含用于 Jackson Data Processor 的通用数据绑定功能和树模型。From 2.21.0 until 2.21.4 和 3.1.4， POJOPropertiesCollector._renameProperties（） 允许重命名而不是删除在 getter 上具有 @JsonProperty（renamed）且 setter 上具有 @JsonIgnore 的属性。启用MapperFeature.INFER_PROPERTY_MUTATORS时（默认），将保留私人支持字段;在反序列化期间，BeanDeserializerFactory.addBeanProps（） 看到 hasField（）==true，构建 FieldProperty，并使支持字段可写。提供重命名 JSON 密钥的攻击者会直接写入支持字段，从而绕过设置器上的@JsonIgnore。此漏洞已在 3.1.4 中修复。
    (CVE-2026-54516)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - jackson-databind 包含 Jackson Data Processor 的一般用途資料繫結功能及樹狀結構模型。From 2.21.0 until 2.21.4 和 3.1.4，POJOPropertiesCollector._renameProperties（） 允許重新命名而不是刪除 getter 上具有 @JsonProperty（renamed）和 setter 上具有 @JsonIgnore 的屬性。啟用MapperFeature.INFER_PROPERTY_MUTATORS （預設） 後，會保留專用備份欄位;在還原序列化期間，BeanDeserializerFactory.addBeanProps（） 會看到 hasField（）==true，建立 FieldProperty，並使支援欄位可寫入。提供重新命名的 JSON 金鑰的攻擊者會直接寫入支援欄位，繞過 setter 上的@JsonIgnore。此弱點已在 3.1.4 中修正。
    (CVE-2026-54516)

請注意，Nessus 依賴供應商報告的套件存在。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、0cb401f9-9f19-11f1-a655-3497f65b111b のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ジャクソンプロジェクトは次のように報告しています。
    PolymorphicTypeValidator は、ジェネリックタイプのパラメーターも検証する必要があります BasicPolymorphicTypeValidator の設定 allowIfSubTypeIsArray() は要素タイプを検証する必要があります 安全でないポリモーフィックベースのタイプのセットで java.lang.Comparable を追加 @JsonView @JsonUnwrapped フィールド/セッタープロパティに対してバイパスされる @JsonView 一部のセッターレスクリエイタープロパティに対してバイパスされます ラップされていない作成者パラメーターに対してバイパスされる@JsonView 外部タイプ ID(EXTERNAL_PROPERTY)プロパティの@JsonViewを遵守します @JsonIgnore セッターの名前を変更しましたプライベートフィールドを介して逆シリアル化する可能性があります PropertyNamingStrategy で無視される Record プロパティ@JsonIgnore 大文字と小文字を区別しない逆シリアル化は、間違った@JsonIgnorePropertiesを使用する可能性があります InetAddress の逆シリアル化時に DNS 解決を許可しない InetSocketAddress の逆シリアル化を改善 java.nio.file.Path 逆シリアル化のためにサポートされている URL スキームを制限する StreamReadConstraints 番号 len 制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-ddde3cf003 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    2.21.5 にリベースし、CVE-2026-54518、CVE-2026-54517、CVE-2026-54516、CVE-2026-54515、CVE-2026-54513CVE-2026-54512

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。2.21.0から2.21.4と3.1.4まで、POJOPropertiesCollector._renameProperties()は、getterに@JsonProperty(renamed)を持ち、セッターに@JsonIgnoreがあるプロパティを、ドロップするのではなく名前を変更できるようにします。MapperFeature.INFER_PROPERTY_MUTATORSを有効にすると(デフォルト)、プライベートバッキングフィールドは保持されます。逆シリアル化中に、BeanDeserializerFactory.addBeanProps()はhasField()==trueを参照し、FieldPropertyを構築し、バッキングフィールドを書き込み可能にします。名前を変更した JSON 鍵を提供する攻撃者は、セッターの@JsonIgnoreをバイパスして、バッキングフィールドを直接書き込みます。この脆弱性は 3.1.4 で修正されています。
    (CVE-2026-54516)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 0cb401f9-9f19-11f1-a655-3497f65b111b advisory.

    The Jackson project reports:
    PolymorphicTypeValidator needs to validate generic type               parameters too     BasicPolymorphicTypeValidator setting allowIfSubTypeIsArray()               should validate element type     Add java.lang.Comparable in set of unsafe polymorphic base               types     @JsonView by-passed for @JsonUnwrapped Field/Setter               properties     @JsonView by-passed for some setterless creator               properties     @JsonView by-passed for unwrapped creator parameters     Honor @JsonView for external-type-id (EXTERNAL_PROPERTY)               properties     Renamed @JsonIgnore'd setters can deserialize via private               fields     @JsonIgnore on Record property ignored with               PropertyNamingStrategy     Case-insensitive deserialization may use wrong               @JsonIgnoreProperties     Do not allow DNS resolution when deserializing               InetAddress     Improve InetSocketAddress deserialization     Limit the supported URL schemes for java.nio.file.Path               deserialization     Add StreamReadConstraints number len constraint to               javax.xml.datatype.XMLGregorianCalendar and               javax.xml.datatype.Duration

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 45 host has packages installed that are affected by multiple vulnerabilities as referenced in the FEDORA-2026-ddde3cf003 advisory.

    Rebase to 2.21.5 to solve the CVE-2026-54518, CVE-2026-54517, CVE-2026-54516, CVE-2026-54515,     CVE-2026-54513, CVE-2026-54512

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data     Processor. From 2.21.0 until 2.21.4 and 3.1.4, POJOPropertiesCollector._renameProperties() allows a     property with @JsonProperty(renamed) on the getter and @JsonIgnore on the setter to be renamed rather     than dropped. With MapperFeature.INFER_PROPERTY_MUTATORS enabled (default), the private backing field is     retained; during deserialization BeanDeserializerFactory.addBeanProps() sees hasField()==true, builds a     FieldProperty, and makes the backing field writable. An attacker supplying the renamed JSON key writes the     backing field directly, bypassing the @JsonIgnore on the setter. This vulnerability is fixed in 3.1.4.
    (CVE-2026-54516)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443852	SCA: security update for com.fasterxml.jackson.core:jackson-databind, tools.jackson.core:jackson-databind (GHSA-9fxm-vc8v-hj55)	Tenable Cloud Security	SCA Checks	2026/6/24	2026/7/2	medium
443852	SCA: security update for com.fasterxml.jackson.core:jackson-databind, tools.jackson.core:jackson-databind (GHSA-9fxm-vc8v-hj55)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/24	2026/7/2	medium
322449	Linux Distros 未修补的漏洞：CVE-2026-54516	Nessus	Misc.	2026/6/24	2026/9/7	medium
322449	Linux Distros 未修補弱點：CVE-2026-54516	Nessus	Misc.	2026/6/24	2026/9/7	medium
339070	FreeBSD:jackson-databind -- 複数の脆弱性(0cb401f9-9f19-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/8/24	2026/8/24	high
326919	Fedora 45:fasterxml-oss-parent / jackson-annotations / jackson-bom / etc(2026-ddde3cf003)	Nessus	Fedora Local Security Checks	2026/7/15	2026/7/15	high
322449	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54516	Nessus	Misc.	2026/6/24	2026/9/7	medium
339070	FreeBSD : jackson-databind -- multiple vulnerabilities (0cb401f9-9f19-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/8/24	2026/8/24	high
326919	Fedora 45 : fasterxml-oss-parent / jackson-annotations / jackson-bom / etc (2026-ddde3cf003)	Nessus	Fedora Local Security Checks	2026/7/15	2026/7/15	high
322449	Linux Distros Unpatched Vulnerability : CVE-2026-54516	Nessus	Misc.	2026/6/24	2026/9/7	medium

检测

插件搜索

medium

medium

medium

medium

high

high

medium

high

high

medium