因此，它會受到 ALAS2023-2026-2081 公告中所提及的多個弱點影響。

    jackson-databind 包含 Jackson 資料處理器的一般用途資料繫結功能和樹狀結構模型。From 2.15.0 until 2.18.8、 2.21.4、 3.1.4和 ，使用 PropertyNamingStrategy 的Java記錄可以略過@JsonIgnore，因為 POJOPropertiesCollector._removeUnwantedIgnorals（） 會在 _renameUsing（） 套用命名策略之前，以原始隱含名稱記錄忽略的元件，從而允許將重新命名的 JSON 金鑰指派給 Record 建構函式參數。此問題已在 、 2.21.4和 3.1.4版本中2.18.8修正。（CVE-2026-59888）

    jackson-databind 包含 Jackson 資料處理器的一般用途資料繫結功能和樹狀結構模型。From 2.18.0 until 2.18.9、 2.21.5、 2.22.13.1.5、 3.2.1和 UnwrappedPropertyHandler.processUnwrapped（） 會重播 @JsonUnwrapped 屬性的緩衝 JSON，並在沒有 prop.visibleInView（ctxt.getActiveView（）） 防護的情況下呼叫 prop.deserializeAndSet（），從而允許在較低權限的作用中檢視下從攻擊者 JSON 寫入同時註解有 @JsonView 和 @JsonUnwrapped 的屬性。此問題已在 2.18.9、2.21.5、2.22.1、3.1.5 和 3.2.1 版中修正。(CVE-2026-59889)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，该软件受到 ALAS2023-2026-2081 公告中提及的多个漏洞影响。

    jackson-databind 包含用于 Jackson Data Processor 的通用数据绑定功能和树模型。From 2.15.02.18.8till ， 2.21.4， 和 3.1.4，使用 PropertyNamingStrategy 的 Java 记录可以绕过@JsonIgnore，因为 POJOPropertiesCollector._removeUnwantedIgnorals（） 会在 _renameUsing（） 应用命名策略之前在其原始隐式名称下记录一个被忽略的组件，从而允许将重命名的 JSON 密钥分配给 Record 构造函数参数。在版本 2.18.8、 和 2.21.43.1.4中修复了此问题。（CVE-2026-59888）

    jackson-databind 包含用于 Jackson Data Processor 的通用数据绑定功能和树模型。From 2.18.02.18.9until 、 、 2.22.1、 3.1.5和 3.2.1UnwrappedPropertyHandler.processUnwrapped（） 会重播 @JsonUnwrapped 2.21.5属性的缓冲 JSON 并调用 prop.deserializeAndSet（），而无需 prop.visibleInView（ctxt.getActiveView（）） 保护，进而允许在权限较低的活动视图下，从攻击者 JSON 写入同时注释了 @JsonView 和 @JsonUnwrapped 的属性。此问题已在 2.18.9、2.21.5、2.22.1、3.1.5 及 3.2.1 版本中得到修补。(CVE-2026-59889)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - jackson-databind 包含 Jackson Data Processor 的一般用途資料繫結功能及樹狀結構模型。在2.18.9版本 、 2.21.5、 2.22.13.1.53.2.1 之前，以及在各自的發行品行上，FromStringDeserializer.Std._deserialize（） 的 java.net.InetAddress 分支會在攻擊者控制的輸入時呼叫 InetAddress.getByName（），從而在還原序列化期間造成急切DNS解析，並啟用DNS型伺服器端要求偽造和內部主機列舉。此問題已在 2.18.9、2.21.5、2.22.1、3.1.5 和 3.2.1 版中修正。(CVE-2026-77310)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jackson-databind 包含用于 Jackson Data Processor 的通用数据绑定功能和树模型。在版本 2.18.9、 2.21.5、 2.22.13.1.53.2.1 及其各自的发行系列中，FromStringDeserializer.Std._deserialize（） 的 java.net.InetAddress 分支会在攻击者控制的输入上调用 InetAddress.getByName（），从而在反序列化期间造成急切 DNS 解析，并启用基于 DNS 的服务器端请求伪造和内部主机枚举。此问题已在 2.18.9、2.21.5、2.22.1、3.1.5 及 3.2.1 版本中得到修补。(CVE-2026-77310)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。それぞれのリリースラインのバージョン 2.18.9、 2.21.5、 2.22.1、 3.1.5、および 3.2.1 より前では、FromStringDeserializer.Std._deserialize() の java.net.InetAddress ブランチが、攻撃者が制御する入力で InetAddress.getByName() を呼び出し、逆シリアル化中に熱心な DNS 解決を引き起こし、DNSベースのサーバー側リクエスト偽造とホスト内部列挙が有効になります。この問題はバージョン 2.18.9、2.21.5、2.22.1、3.1.5、および 3.2.1 で修正されています。(CVE-2026-77310)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、0cb401f9-9f19-11f1-a655-3497f65b111b のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    ジャクソンプロジェクトは次のように報告しています。
    PolymorphicTypeValidator は、ジェネリックタイプのパラメーターも検証する必要があります BasicPolymorphicTypeValidator の設定 allowIfSubTypeIsArray() は要素タイプを検証する必要があります 安全でないポリモーフィックベースのタイプのセットで java.lang.Comparable を追加 @JsonView @JsonUnwrapped フィールド/セッタープロパティに対してバイパスされる @JsonView 一部のセッターレスクリエイタープロパティに対してバイパスされます ラップされていない作成者パラメーターに対してバイパスされる@JsonView 外部タイプ ID(EXTERNAL_PROPERTY)プロパティの@JsonViewを遵守します @JsonIgnore セッターの名前を変更しましたプライベートフィールドを介して逆シリアル化する可能性があります PropertyNamingStrategy で無視される Record プロパティ@JsonIgnore 大文字と小文字を区別しない逆シリアル化は、間違った@JsonIgnorePropertiesを使用する可能性があります InetAddress の逆シリアル化時に DNS 解決を許可しない InetSocketAddress の逆シリアル化を改善 java.nio.file.Path 逆シリアル化のためにサポートされている URL スキームを制限する StreamReadConstraints 番号 len 制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-2081 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。2.15.0から2.18.8、2.21.4、3.1.4まで、PropertyNamingStrategyを使用するJavaレコードは、_renameUsing()が命名方法を適用する前に、POJOPropertiesCollector._removeUnwantedIgnorals()が無視されたコンポーネントを元の暗黙的な名前で記録し、名前を変更されたJSONキーをレコードコンストラクターパラメータに割り当てることができるため、@JsonIgnoreをバイパスする可能性があります。この問題は、バージョン 2.18.8、 2.21.4、 3.1.4 で修正されています。(CVE-2026-59888)

    jackson-databindには、Jackson Data Processor用の汎用データバインディング機能とツリーモデルが含まれています。2.18.0から2.18.9、2.21.5、2.22.1、3.1.5、3.2.1まで、UnwrappedPropertyHandler.processUnwrapped()は、@JsonUnwrappedプロパティのバッファされたJSONを再生し、prop.visibleInView(ctxt.getActiveView())ガードなしでprop.deserializeAndSet()を呼び出します。これにより、@JsonViewと@JsonUnwrappedの両方で注釈が付けられたプロパティが、権限の少ないアクティブビューで攻撃者のJSONから書き込まれる可能性があります。この問題はバージョン 2.18.9、2.21.5、2.22.1、3.1.5、および 3.2.1 で修正されています。(CVE-2026-59889)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 0cb401f9-9f19-11f1-a655-3497f65b111b advisory.

    The Jackson project reports:
    PolymorphicTypeValidator needs to validate generic type               parameters too     BasicPolymorphicTypeValidator setting allowIfSubTypeIsArray()               should validate element type     Add java.lang.Comparable in set of unsafe polymorphic base               types     @JsonView by-passed for @JsonUnwrapped Field/Setter               properties     @JsonView by-passed for some setterless creator               properties     @JsonView by-passed for unwrapped creator parameters     Honor @JsonView for external-type-id (EXTERNAL_PROPERTY)               properties     Renamed @JsonIgnore'd setters can deserialize via private               fields     @JsonIgnore on Record property ignored with               PropertyNamingStrategy     Case-insensitive deserialization may use wrong               @JsonIgnoreProperties     Do not allow DNS resolution when deserializing               InetAddress     Improve InetSocketAddress deserialization     Limit the supported URL schemes for java.nio.file.Path               deserialization     Add StreamReadConstraints number len constraint to               javax.xml.datatype.XMLGregorianCalendar and               javax.xml.datatype.Duration

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-2081 advisory.

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data     Processor. From 2.15.0 until 2.18.8, 2.21.4, and 3.1.4, Java Records using a PropertyNamingStrategy can     bypass @JsonIgnore because POJOPropertiesCollector._removeUnwantedIgnorals() records an ignored component     under its original implicit name before _renameUsing() applies the naming strategy, allowing the renamed     JSON key to be assigned to the Record constructor parameter. This issue is fixed in versions 2.18.8,     2.21.4, and 3.1.4. (CVE-2026-59888)

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data     Processor. From 2.18.0 until 2.18.9, 2.21.5, 2.22.1, 3.1.5, and 3.2.1,     UnwrappedPropertyHandler.processUnwrapped() replays buffered JSON for a @JsonUnwrapped property and calls     prop.deserializeAndSet() without a prop.visibleInView(ctxt.getActiveView()) guard, allowing a property     annotated with both @JsonView and @JsonUnwrapped to be written from attacker JSON under a less-privileged     active view. This issue is fixed in versions 2.18.9, 2.21.5, 2.22.1, 3.1.5, and 3.2.1. (CVE-2026-59889)

    jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data     Processor. Prior to versions 2.18.9, 2.21.5, 2.22.1, 3.1.5, and 3.2.1 on their respective release lines,     the java.net.InetAddress branch of FromStringDeserializer.Std._deserialize() calls InetAddress.getByName()     on attacker-controlled input, causing eager DNS resolution during deserialization and enabling DNS-based     server-side request forgery and internal-host enumeration. This issue is fixed in versions 2.18.9, 2.21.5,     2.22.1, 3.1.5, and 3.2.1. (CVE-2026-77310)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - jackson-databind contains the general-purpose data-binding functionality and tree-model for Jackson Data     Processor. Prior to versions 2.18.9, 2.21.5, 2.22.1, 3.1.5, and 3.2.1 on their respective release lines,     the java.net.InetAddress branch of FromStringDeserializer.Std._deserialize() calls InetAddress.getByName()     on attacker-controlled input, causing eager DNS resolution during deserialization and enabling DNS-based     server-side request forgery and internal-host enumeration. This issue is fixed in versions 2.18.9, 2.21.5,     2.22.1, 3.1.5, and 3.2.1. (CVE-2026-77310)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
341908	Amazon Linux 2023 : jackson-databind (ALAS2023-2026-2081)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/9/15	medium
341908	Amazon Linux 2023: jackson-databind (ALAS2023-2026-2081)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/9/15	medium
341754	Linux Distros 未修補弱點：CVE-2026-77310	Nessus	Misc.	2026/8/31	2026/9/2	medium
341754	Linux Distros 未修补的漏洞：CVE-2026-77310	Nessus	Misc.	2026/8/31	2026/9/2	medium
341754	Linux Distros のパッチ未適用の脆弱性: CVE-2026-77310	Nessus	Misc.	2026/8/31	2026/9/2	medium
339070	FreeBSD:jackson-databind -- 複数の脆弱性(0cb401f9-9f19-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/8/24	2026/8/24	high
341908	Amazon Linux 2023:jackson-databind(ALAS2023-2026-2081)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/9/15	medium
339070	FreeBSD : jackson-databind -- multiple vulnerabilities (0cb401f9-9f19-11f1-a655-3497f65b111b)	Nessus	FreeBSD Local Security Checks	2026/8/24	2026/8/24	high
341908	Amazon Linux 2023 : jackson-databind (ALAS2023-2026-2081)	Nessus	Amazon Linux Local Security Checks	2026/8/31	2026/9/15	medium
341754	Linux Distros Unpatched Vulnerability : CVE-2026-77310	Nessus	Misc.	2026/8/31	2026/9/2	medium

检测

插件搜索

medium

medium

medium

medium

medium

high

medium

high

medium

medium