There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data
    Processor. From 2.21.0 until 2.21.4 and 3.1.4,
    UnwrappedPropertyHandler.processUnwrappedCreatorProperties() replays buffered JSON into creator parameters
    but never consults prop.visibleInView(activeView). The normal property-based creator path gates creator
    properties on the active view, but this unwrapped-creator replay path bypasses that check, so a
    constructor parameter annotated with both @JsonView(AdminView.class) and @JsonUnwrapped is populated from
    attacker JSON even when a more restrictive view is active. This vulnerability is fixed in 2.21.4 and
    3.1.4. (CVE-2026-54518)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - jackson-databind 包含 Jackson Data Processor 的一般用途資料繫結功能及樹狀結構模型。從 2.21.0 until 2.21.4 和 3.1.4， UnwrappedPropertyHandler.processUnwrappedCreatorProperties（） 將緩衝的 JSON 重播為建立者參數，但絕不諮詢 prop.visibleInView（activeView）。一般屬性型建立者路徑會閘入作用中檢視上的建立者屬性，但此未包裝的建立者重播路徑會略過該檢查，因此即使限制性更強的檢視處於作用中狀態，也會從攻擊者 JSON 填入同時註解 @JsonView （AdminView.class） 和 @JsonUnwrapped 的建構函式參數。此弱點已在 2.21.4 和 3.1.4 中修正。(CVE-2026-54518)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jackson-databind 包含用于 Jackson Data Processor 的通用数据绑定功能和树模型。From 2.21.0 until 2.21.4 和 3.1.4，UnwrappedPropertyHandler.processUnwrappedCreatorProperties（） 将缓冲的 JSON 重播到 creator 参数中，但从不咨询 prop.visibleInView（activeView）。通常基于属性的创建者路径会保护活动视图上的创建者属性，但此未包装的创建者重播路径会绕过该检查，因此即使活动了更严格的视图，也会从攻击者 JSON 填充同时@JsonView（AdminView.class） 和 @JsonUnwrapped 注释的构造函数参数。此漏洞已在 2.21.4 和 3.1.4 中修复。(CVE-2026-54518)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 45 ホストには、FEDORA-2026-ddde3cf003 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    2.21.5 にリベースし、CVE-2026-54518、CVE-2026-54517、CVE-2026-54516、CVE-2026-54515、CVE-2026-54513CVE-2026-54512

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。2.21.0から2.21.4まで、3.1.4、UnwrappedPropertyHandler.processUnwrappedCreatorProperties() はバッファされた JSON をクリエイターパラメータに再生しますが、prop.visibleInView(activeView) は参照しません。通常のプロパティベースの作成者パスはアクティブビューの作成者プロパティをゲートしますが、このラップされていない作成者再生パスはそのチェックをバイパスするため、@JsonView(AdminView.class)と@JsonUnwrappedの両方で注釈が付けられたコンストラクターパラメーターは、より制限の厳しいビューがアクティブな場合でも攻撃者のJSONから入力されます。この脆弱性は、2.21.4 および 3.1.4 で修正されています。(CVE-2026-54518)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、0cb401f9-9f19-11f1-a655-3497f65b111b のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ジャクソンプロジェクトは次のように報告しています。
    PolymorphicTypeValidator は、ジェネリックタイプのパラメーターも検証する必要があります BasicPolymorphicTypeValidator の設定 allowIfSubTypeIsArray() は要素タイプを検証する必要があります 安全でないポリモーフィックベースのタイプのセットで java.lang.Comparable を追加 @JsonView @JsonUnwrapped フィールド/セッタープロパティに対してバイパスされる @JsonView 一部のセッターレスクリエイタープロパティに対してバイパスされます ラップされていない作成者パラメーターに対してバイパスされる@JsonView 外部タイプ ID(EXTERNAL_PROPERTY)プロパティの@JsonViewを遵守します @JsonIgnore セッターの名前を変更しましたプライベートフィールドを介して逆シリアル化する可能性があります PropertyNamingStrategy で無視される Record プロパティ@JsonIgnore 大文字と小文字を区別しない逆シリアル化は、間違った@JsonIgnorePropertiesを使用する可能性があります InetAddress の逆シリアル化時に DNS 解決を許可しない InetSocketAddress の逆シリアル化を改善 java.nio.file.Path 逆シリアル化のためにサポートされている URL スキームを制限する StreamReadConstraints 番号 len 制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data     Processor. From 2.21.0 until 2.21.4 and 3.1.4,     UnwrappedPropertyHandler.processUnwrappedCreatorProperties() replays buffered JSON into creator parameters     but never consults prop.visibleInView(activeView). The normal property-based creator path gates creator     properties on the active view, but this unwrapped-creator replay path bypasses that check, so a     constructor parameter annotated with both @JsonView(AdminView.class) and @JsonUnwrapped is populated from     attacker JSON even when a more restrictive view is active. This vulnerability is fixed in 2.21.4 and     3.1.4. (CVE-2026-54518)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 0cb401f9-9f19-11f1-a655-3497f65b111b advisory.

    The Jackson project reports:
    PolymorphicTypeValidator needs to validate generic type               parameters too     BasicPolymorphicTypeValidator setting allowIfSubTypeIsArray()               should validate element type     Add java.lang.Comparable in set of unsafe polymorphic base               types     @JsonView by-passed for @JsonUnwrapped Field/Setter               properties     @JsonView by-passed for some setterless creator               properties     @JsonView by-passed for unwrapped creator parameters     Honor @JsonView for external-type-id (EXTERNAL_PROPERTY)               properties     Renamed @JsonIgnore'd setters can deserialize via private               fields     @JsonIgnore on Record property ignored with               PropertyNamingStrategy     Case-insensitive deserialization may use wrong               @JsonIgnoreProperties     Do not allow DNS resolution when deserializing               InetAddress     Improve InetSocketAddress deserialization     Limit the supported URL schemes for java.nio.file.Path               deserialization     Add StreamReadConstraints number len constraint to               javax.xml.datatype.XMLGregorianCalendar and               javax.xml.datatype.Duration

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 45 host has packages installed that are affected by multiple vulnerabilities as referenced in the FEDORA-2026-ddde3cf003 advisory.

    Rebase to 2.21.5 to solve the CVE-2026-54518, CVE-2026-54517, CVE-2026-54516, CVE-2026-54515,     CVE-2026-54513, CVE-2026-54512

Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443853	SCA: security update for com.fasterxml.jackson.core:jackson-databind, tools.jackson.core:jackson-databind (GHSA-rcqc-6cw3-h962)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/24	2026/7/2	medium
443853	SCA: security update for com.fasterxml.jackson.core:jackson-databind, tools.jackson.core:jackson-databind (GHSA-rcqc-6cw3-h962)	Tenable Cloud Security	SCA Checks	2026/6/24	2026/7/2	medium
322433	Linux Distros 未修補弱點：CVE-2026-54518	Nessus	Misc.	2026/6/24	2026/9/2	medium
322433	Linux Distros 未修补的漏洞：CVE-2026-54518	Nessus	Misc.	2026/6/24	2026/9/2	medium
326919	Fedora 45:fasterxml-oss-parent / jackson-annotations / jackson-bom / etc(2026-ddde3cf003)	Nessus	Fedora Local Security Checks	2026/7/15	2026/7/15	high
322433	Linux Distros のパッチ未適用の脆弱性: CVE-2026-54518	Nessus	Misc.	2026/6/24	2026/9/2	medium
339070	FreeBSD:jackson-databind -- 複数の脆弱性(0cb401f9-9f19-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/8/24	2026/8/24	high
322433	Linux Distros Unpatched Vulnerability : CVE-2026-54518	Nessus	Misc.	2026/6/24	2026/9/2	medium
339070	FreeBSD : jackson-databind -- multiple vulnerabilities (0cb401f9-9f19-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/8/24	2026/8/24	high
326919	Fedora 45 : fasterxml-oss-parent / jackson-annotations / jackson-bom / etc (2026-ddde3cf003)	Nessus	Fedora Local Security Checks	2026/7/15	2026/7/15	high

检测

插件搜索

medium

medium

medium

medium

high

medium

high

medium

high

high