There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - TypeDeserializerBase._findDeserializer() in FasterXML jackson-databind caches the resolved deserializer
    under the raw, attacker-supplied type ID. When name-based polymorphism is configured with a fallback, for
    example @JsonTypeInfo(use = Id.NAME, defaultImpl = ...), every distinct unrecognized type ID resolves to
    the same fallback deserializer but is retained as its own key in the _deserializers map. That map has no
    configurable bound and lives for the lifetime of the type deserializer, so an attacker who can repeatedly
    supply fresh unknown type IDs causes monotonic memory retention across requests. The reporter observed
    10,000 retained entries from 10,000 distinct unknown IDs, against a single entry for a control that
    repeated one unknown ID the same number of times, isolating attacker-controlled key cardinality from
    request volume. Exploitation requires an application that enables name-based polymorphism with a
    defaultImpl or equivalent fallback, accepts attacker-influenced type IDs, and reuses a long-lived
    ObjectMapper across requests. The fix stops caching fallback resolutions for unrecognized IDs and bounds
    both the number of cached entries and the length of a cacheable type ID. (CVE-2026-91776)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - FasterXML 中的 TypeDeserializerBase._findDeserializer（） jackson-databind 将已解析的反序列化程序缓存在攻击者提供的原始类型 ID 下。当基于名称的多态性配置了回退时，例如 @JsonTypeInfo（use = Id.NAME， defaultImpl = ...），每个不同的无法识别的类型 ID 都会解析为相同的回退反序列化器，但在 _deserializers 映射中保留为自己的密钥。该映射没有可配置的边界，并且会在类型反序列化器的生命周期内持续存在，因此能够重复提供新鲜未知类型 ID 的攻击者可能会造成跨请求单调的内存保留。报告者观察到 10,000 个不同未知 ID 中的 10,000 个保留条目，而对于重复一个未知 ID 相同次数的控件的单个条目，从而将攻击者控制的密钥基数与请求量隔离开来。要利用此漏洞，需要应用程序通过 defaultImpl 或同等回退启用基于名称的多态性，接受受攻击者影响的类型 ID，并跨请求重用长期限 ObjectMapper。此补丁停止为无法识别的 ID 缓存回退解析，并限制缓存的条目数和可缓存类型 ID 的长度。CVE-2026-91776

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - FasterXML 中的 TypeDeserializerBase._findDeserializer（） jackson-databind 會將已解析的還原序列化程式快取在攻擊者提供的原始類型 ID 下。當以後援配置名稱型多態性時，例如 @JsonTypeInfo（use = Id.NAME， defaultImpl = ...），每個不同的無法辨識類型識別碼都會解析為相同的後援還原序列化程式，但在_deserializers對應中保留為自己的索引鍵。該對應沒有可設定的界限，而且會在類型還原序列化程式的存留期內存留，因此可以重複提供新的未知類型識別碼的攻擊者會在要求之間造成單調記憶體保留。報告者觀察到來自 10,000 個不同未知 ID 的 10,000 個保留條目，而控件的單個條目重複一個未知 ID 相同次數，從而將攻擊者控制的密鑰基數與請求量隔離開來。利用需要應用程式啟用具有 defaultImpl 或對等後援的名稱型多態性、接受受攻擊者影響的類型 ID，以及跨要求重複使用長期的 ObjectMapper。此修正程式會停止快取無法辨識識別碼的後援解決方案，並限制快取項目數目和可快取類型識別碼的長度。CVE-2026-91776

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - FasterXML jackson-databind の TypeDeserializerBase._findDeserializer() は、解決された逆シリアル化子を、攻撃者が指定した未加工のタイプ ID の下にキャッシュします。名前ベースのポリモーフィズムがフォールバックで設定されている場合 (たとえば @JsonTypeInfo(use = Id.NAME, defaultImpl = ...)、認識されないすべての個別の型 ID は同じフォールバック デシリアライザーに解決されますが、_deserializers マップでは独自のキーとして保持されます。そのマップには構成可能なバインドがなく、型デシリアライザーの有効期間中存続するため、新しい未知の型 ID を繰り返し供給できる攻撃者は、リクエスト間で単調なメモリ保持を引き起こします。レポーターは、1 つの不明な ID を同じ回数繰り返すコントロールの単一のエントリに対して、10,000 の不明な ID からの 10,000 の保持エントリを観察しました。これにより、攻撃者が制御するキーカーディナリティがリクエストボリュームから分離されました。悪用するには、defaultImpl または同等のフォールバックで名前ベースのポリモーフィズムを有効にし、攻撃者の影響を受ける型 ID を受け入れ、リクエスト間で長寿命の ObjectMapper を再利用するアプリケーションが必要です。この修正により、認識されないIDに対するフォールバック解決策のキャッシュが停止され、キャッシュされたエントリの数とキャッシュ可能なタイプIDの長さの両方が制限されます。(CVE-2026-91776)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:4394-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
    - CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
    - CVE-2026-68495:CBOR パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282639)。
    - CVE-2026-68496:Smile パーサーに対して強制された maxNameLength 制限を確実にします(bsc#1282640)。
    - CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
    - CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
    - CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。

    jackson-annotations の変更:

    - 2.18.11 への更新

    jackson-bom の変更:

    - 2.18.11 への更新

    jackson-core の変更:

    - 2.18.11 への更新
     * #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
     * #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
     * #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
     * #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します

    jackson-databind の変更点:

    - 2.18.11 への更新
     * #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
     * #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
     * #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
     * #6099:TypeFactory.findClass() で初期化なしのクラスを解決
     * #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
     * #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
     * #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
     * #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
     * #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します

    jackson-dataformat-xml に対する変更:

    - 2.18.11 への更新
     * past-JDK-8 バイトコードの生成を回避するためにビルドを修正します
     * #891:FromXmlParser で StreamReadConstraints.maxNestingDepth を強制します

    jackson-dataformats-binary の変更:

    - 2.18.11 への更新
     * #783:(protobuf)ProtobufParser の StreamReadConstraints.maxDocumentLength をサポートします
     * #785:(avro)Avro パーサーにおいて StreamReadConstraints.maxDocumentLength および maxTokenCount をサポートします
     * #803:(ion)Ion パーサーの StreamReadConstraints.maxNestingDepth をサポートします( #358 の部分的修正)
     * #805:(ion)Ion パーサーの StreamReadConstraints.maxDocumentLength をサポートします( #358 の部分的修正)
     * #725:(cbor)CBOR パーサーに対して強制された maxNameLength 制限を確実に実施する(bsc#1282639、 CVE-2026-68495)
     * #726:(smile)Smile パーサーに対して強制された maxNameLength 制限を確実に実行します(bsc#1282640、 CVE-2026-68496)
     * #727:(cbor)CBORParser.nextFieldName(SerializableString) が、5 ビット長のマーカー 23 と 24 を混同します(「1 バイト長のサフィックスが続く」)
     * #728:(cbor)CBORParser.nextFieldName(SerializableString) が、ファストパスのミスでオブジェクトエントリスロットを 2 回消費し、特定の長さのオブジェクトを切り捨てます
     * #733:(cbor)長い「文字列」が「stringref」参照テーブルに追加されず、以下の参照が破損します
     * #735:(cbor)「stringref」property-name パスが、実際の長さの代わりに 5 ビットの長さのマーカーを shouldReferenceString() に渡します
     * #736:(cbor)Long Object プロパティ名が「stringref」参照テーブルに 2 回追加されました

    jackson-modules-base の変更:

    - 2.18.11 への更新

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22034-1 アドバイザリで言及されています。

    - CVE-2026-18401:非同期パーサーの数値長制約のバイパスにより、処理時間の問題が発生する可能性があります(bsc#1273856)。
    - CVE-2026-19032:「java.nio.file.Path」のデシリアライザーが、URI スキーマを制限せずに攻撃者が指定した URI を解決します(bsc#1277883)。
    - CVE-2026-68494:チャンクされた桁数の蓄積を介した非同期パーサーの maxNumberLength のバイパス(bsc#1273857)。
    - CVE-2026-68497:このため、認証されていない攻撃者が、数メガバイト(bsc#1280125)の単一のリクエストを送信する可能性があります。
    - CVE-2026-68498:ReaderBasedJsonParser で maxNameLength を増分的に強制します(bsc#1282641)。
    - CVE-2026-83557:不完全な「PolymorphicTypeValidator」拒否リストにより、任意の「比較可能な」逆シリアル化が可能になります(bsc#1278008)。
    - CVE-2026-89407:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645)。
    - CVE-2026-89425:「UTF8DataInputJsonParser._reportInvalidToken()」には「maxErrorTokenLength」制限がないため、「StringBuilder」が際限なく増加し、無効な形式のトークンが処理される際に DoS が発生する可能性があります(bsc#1282505)。
    - CVE-2026-91776:「TypeDeserializerBase._findDeserializer()」は、解決された逆シリアル化子を、攻撃者が指定した未加工のタイプ ID の下にキャッシュします。これにより、特定の構成で、キャッシュが際限なく増加する可能性があります(bsc#1282491)。
    - CVE-2026-91777:「@JsonIdentityInfo」オブジェクト ID の前方参照完了は、解決されたすべての ID について保留中の参照アキュムレーターの線形スキャンを実行します。これにより、逆シリアル化中に CPU の二次仕事が発生する可能性があります(bsc#1282492)。

    jackson-annotations の変更:

    - 2.18.11 への更新

    jackson-core の変更:

    - 2.18.11 への更新
     * #1649:NumberInput.looksLikeValidNumber を最適化します(bsc#1282645、 CVE-2026-89407)
     * #1698:認識されないトークンを報告するとき、UTF8DataInputJsonParser は maxErrorTokenLength を遵守しません(bsc#1282505、 CVE-2026-89425)
     * #1642:非同期パーサー single-feedInput() の場合の maxDocumentLength バイパスを修正 [GHSA-2c4j-63jj-9fqr]
     * #1643:非同期パーサー(bsc#1273857、CVE-2026-68494)ノンブロッキング(非同期)パーサー(bsc#1273856、CVE-2026-18401)の ReaderBasedJsonParser(bsc#1282641、CVE-2026-68498)で maxNameLength を増分的に強制します

    jackson-databind の変更点:

    - 2.18.11 への更新
     * #6185:InetSocketAddress シリアル化におけるブラケット未解決の IPv6 ホスト名
     * #6203:TypeDeserializer におけるタイプ id キャッシュの無限増殖を防止します(bsc#1282491、 CVE-2026-91776)
     * #6204:Collection/Map デシリアライザーの二次前方参照解決を回避します(bsc#1282492、 CVE-2026-91777)
     * #6099:TypeFactory.findClass() で初期化なしのクラスを解決
     * #6116:InetAddress リテラル検証で非 ASCII 数字を拒否します
     * #6127:StreamReadConstraints 数の長さの制約を javax.xml.datatype.XMLGregorianCalendar と javax.xml.datatype.Duration に追加します(bsc#1280125、 CVE-2026-68497)
     * #6129:java.nio.file.Path の逆シリアル化のためにサポートされる URL スキーマを制限します(bsc#1277883、 CVE-2026-19032)
     * #6156:安全でないポリモーフィックベースタイプのセットに java.lang.Comparable を追加します(bsc#1278008、 CVE-2026-83557)
     * #6165:BigDecimal/BigInteger/ /Double/Float Map キーに数値長制限を適用します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:4394-1 advisory.

    - CVE-2026-18401: Number Length Constraint Bypass in Async Parser Can Lead to Potential Processing Time     Issues       (bsc#1273856).
    - CVE-2026-68494: Async parser maxNumberLength bypass via chunked digit accumulation (bsc#1273857).
    - CVE-2026-68495: Ensure maxNameLength limit enforced for CBOR parser (bsc#1282639).
    - CVE-2026-68496: Ensure maxNameLength limit enforced for Smile parser (bsc#1282640).
    - CVE-2026-68498: Enforce maxNameLength incrementally in ReaderBasedJsonParser (bsc#1282641).
    - CVE-2026-89407: Optimize NumberInput.looksLikeValidNumber (bsc#1282645).
    - CVE-2026-89425: `UTF8DataInputJsonParser._reportInvalidToken()`lacks `maxErrorTokenLength` limit, which     allows for       unbounded `StringBuilder` growth and can lead to a DoS when malformed tokens are processed     (bsc#1282505).

    Changes for jackson-annotations:

    - Update to 2.18.11

    Changes for jackson-bom:

    - Update to 2.18.11

    Changes for jackson-core:

    - Update to 2.18.11
     * #1649: Optimize NumberInput.looksLikeValidNumber (bsc#1282645,      CVE-2026-89407)
     * #1698: UTF8DataInputJsonParser does not honor      maxErrorTokenLength when reporting an unrecognized token      (bsc#1282505, CVE-2026-89425)
     * #1642: Fix maxDocumentLength bypass in async parser      single-feedInput() case [GHSA-2c4j-63jj-9fqr]
     * #1643: Enforce maxNameLength incrementally in      ReaderBasedJsonParser (bsc#1282641, CVE-2026-68498)      of async parser (bsc#1273857, CVE-2026-68494)      non-blocking (async) parser (bsc#1273856, CVE-2026-18401)

    Changes for jackson-databind:

    - Update to 2.18.11
     * #6185: Bracket unresolved IPv6 host name in InetSocketAddress      serialization
     * #6203: Prevent unbounded growth of type id cache in      TypeDeserializer (bsc#1282491, CVE-2026-91776)
     * #6204: Avoid quadratic forward-reference resolution in      Collection/Map deserializers (bsc#1282492, CVE-2026-91777)
     * #6099: Resolve classes without initialization in      TypeFactory.findClass()
     * #6116: Reject non-ASCII digits in InetAddress literal validation
     * #6127: Add StreamReadConstraints number len constraint to      javax.xml.datatype.XMLGregorianCalendar and      javax.xml.datatype.Duration (bsc#1280125, CVE-2026-68497)
     * #6129: Limit the supported URL schemes for java.nio.file.Path      deserialization (bsc#1277883, CVE-2026-19032)
     * #6156: Add java.lang.Comparable in set of unsafe polymorphic      base types (bsc#1278008, CVE-2026-83557)
     * #6165: Apply number length limits to BigDecimal/BigInteger/      /Double/Float Map keys

    Changes for jackson-dataformat-xml:

    - Update to 2.18.11
     * Fix build to avoid past-JDK-8 bytecode generation
     * #891: Enforce StreamReadConstraints.maxNestingDepth in      FromXmlParser

    Changes for jackson-dataformats-binary:

    - Update to 2.18.11
     * #783: (protobuf) Support StreamReadConstraints.maxDocumentLength      in ProtobufParser
     * #785: (avro) Support StreamReadConstraints.maxDocumentLength and      maxTokenCount in Avro parser
     * #803: (ion) Support StreamReadConstraints.maxNestingDepth in Ion      parser (partial fix for #358)
     * #805: (ion) Support StreamReadConstraints.maxDocumentLength in      Ion parser (partial fix for #358)
     * #725: (cbor) Ensure maxNameLength limit enforced for CBOR parser      (bsc#1282639, CVE-2026-68495)
     * #726: (smile) Ensure maxNameLength limit enforced for Smile      parser (bsc#1282640, CVE-2026-68496)
     * #727: (cbor) CBORParser.nextFieldName(SerializableString)      confuses 5-bit length marker 23 with 24 ('1-byte length suffix      follows')
     * #728: (cbor) CBORParser.nextFieldName(SerializableString)      consumes Object entry slot twice on fast-path miss, truncating      definite-length Objects
     * #733: (cbor) Long `String`s not added to 'stringref' reference      table, breaking following references
     * #735: (cbor) 'stringref' property-name paths pass 5-bit length      marker instead of actual length to shouldReferenceString()
     * #736: (cbor) Long Object property names added to 'stringref'      reference table twice

    Changes for jackson-modules-base:

    - Update to 2.18.11

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - TypeDeserializerBase._findDeserializer() in FasterXML jackson-databind caches the resolved deserializer     under the raw, attacker-supplied type ID. When name-based polymorphism is configured with a fallback, for     example @JsonTypeInfo(use = Id.NAME, defaultImpl = ...), every distinct unrecognized type ID resolves to     the same fallback deserializer but is retained as its own key in the _deserializers map. That map has no     configurable bound and lives for the lifetime of the type deserializer, so an attacker who can repeatedly     supply fresh unknown type IDs causes monotonic memory retention across requests. The reporter observed     10,000 retained entries from 10,000 distinct unknown IDs, against a single entry for a control that     repeated one unknown ID the same number of times, isolating attacker-controlled key cardinality from     request volume. Exploitation requires an application that enables name-based polymorphism with a     defaultImpl or equivalent fallback, accepts attacker-influenced type IDs, and reuses a long-lived     ObjectMapper across requests. The fix stops caching fallback resolutions for unrecognized IDs and bounds     both the number of cached entries and the length of a cacheable type ID. (CVE-2026-91776)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:22034-1 advisory.

    - CVE-2026-18401: Number Length Constraint Bypass in Async Parser Can Lead to Potential Processing Time     Issues       (bsc#1273856).
    - CVE-2026-19032: deserializer for `java.nio.file.Path` resolves attacker-supplied URIs without     restricting the URI       scheme (bsc#1277883).
    - CVE-2026-68494: Async parser maxNumberLength bypass via chunked digit accumulation (bsc#1273857).
    - CVE-2026-68497: An unauthenticated attacker can therefore submit a single request of a few megabytes     (bsc#1280125).
    - CVE-2026-68498: Enforce maxNameLength incrementally in ReaderBasedJsonParser (bsc#1282641).
    - CVE-2026-83557: incomplete `PolymorphicTypeValidator` denylist allows for arbitrary `Comparable`     deserialization       (bsc#1278008).
    - CVE-2026-89407: Optimize NumberInput.looksLikeValidNumber (bsc#1282645).
    - CVE-2026-89425: `UTF8DataInputJsonParser._reportInvalidToken()`lacks `maxErrorTokenLength` limit, which     allows for       unbounded `StringBuilder` growth and can lead to a DoS when malformed tokens are processed     (bsc#1282505).
    - CVE-2026-91776: `TypeDeserializerBase._findDeserializer()` caches the resolved deserializer under the     raw, attacker-       supplied type ID, which can lead to unbounded cache growth under certain configurations (bsc#1282491).
    - CVE-2026-91777: forward-reference completion for `@JsonIdentityInfo` object IDs performs a linear scan     of the pending-       reference accumulator for every resolved ID, which can lead to quadratic CPU work during deserialization       (bsc#1282492).

    Changes for jackson-annotations:

    - Update to 2.18.11

    Changes for jackson-core:

    - Update to 2.18.11
     * #1649: Optimize NumberInput.looksLikeValidNumber (bsc#1282645,      CVE-2026-89407)
     * #1698: UTF8DataInputJsonParser does not honor      maxErrorTokenLength when reporting an unrecognized token      (bsc#1282505, CVE-2026-89425)
     * #1642: Fix maxDocumentLength bypass in async parser      single-feedInput() case [GHSA-2c4j-63jj-9fqr]
     * #1643: Enforce maxNameLength incrementally in      ReaderBasedJsonParser (bsc#1282641, CVE-2026-68498)      of async parser (bsc#1273857, CVE-2026-68494)      non-blocking (async) parser (bsc#1273856, CVE-2026-18401)

    Changes for jackson-databind:

    - Update to 2.18.11
     * #6185: Bracket unresolved IPv6 host name in InetSocketAddress      serialization
     * #6203: Prevent unbounded growth of type id cache in      TypeDeserializer (bsc#1282491, CVE-2026-91776)
     * #6204: Avoid quadratic forward-reference resolution in      Collection/Map deserializers (bsc#1282492, CVE-2026-91777)
     * #6099: Resolve classes without initialization in      TypeFactory.findClass()
     * #6116: Reject non-ASCII digits in InetAddress literal validation
     * #6127: Add StreamReadConstraints number len constraint to      javax.xml.datatype.XMLGregorianCalendar and      javax.xml.datatype.Duration (bsc#1280125, CVE-2026-68497)
     * #6129: Limit the supported URL schemes for java.nio.file.Path      deserialization (bsc#1277883, CVE-2026-19032)
     * #6156: Add java.lang.Comparable in set of unsafe polymorphic      base types (bsc#1278008, CVE-2026-83557)
     * #6165: Apply number length limits to BigDecimal/BigInteger/      /Double/Float Map keys

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
459175	Echo: com.fasterxml.jackson.core:jackson-databind, tools.jackson.core:jackson-databind: security update to 2.18.11	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/13	high
459175	Echo: com.fasterxml.jackson.core:jackson-databind, tools.jackson.core:jackson-databind: security update to 2.18.11	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/13	high
349507	Linux Distros 未修补的漏洞：CVE-2026-91776	Nessus	Misc.	2026/9/23	2026/9/25	high
349507	Linux Distros 未修補弱點：CVE-2026-91776	Nessus	Misc.	2026/9/23	2026/9/25	high
349507	Linux Distros のパッチ未適用の脆弱性: CVE-2026-91776	Nessus	Misc.	2026/9/23	2026/9/25	high
351412	SUSE SLED15:jackson-annotations/jackson-core/jackson-databind/etc(SUSE-SU-2026:4394-1)	Nessus	SuSE Local Security Checks	2026/9/30	2026/9/30	high
364341	openSUSE 16:jackson-annotations/jackson-annotations-javadoc/jackson-core/etc(openSUSE-SU-2026:22034-1)	Nessus	SuSE Local Security Checks	2026/10/9	2026/10/9	high
351412	SUSE SLED15: jackson-annotations / jackson-core / jackson-databind / etc (SUSE-SU-2026:4394-1)	Nessus	SuSE Local Security Checks	2026/9/30	2026/9/30	high
349507	Linux Distros Unpatched Vulnerability : CVE-2026-91776	Nessus	Misc.	2026/9/23	2026/9/25	high
364341	openSUSE 16: jackson-annotations / jackson-annotations-javadoc / jackson-core / etc (openSUSE-SU-2026:22034-1)	Nessus	SuSE Local Security Checks	2026/10/9	2026/10/9	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high