jackson-databind 爆 CVSS 9.8 漏洞，旧修复被绕过可任意实例化类

Kyrannio · x · 2026-10-28

FasterXML jackson-databind 被披露新漏洞 CVE-2026-110879，CVSS 评分 9.8。

• 漏洞原理：库只校验类名 type ID 的外层类，却接受攻击者通过泛型参数和数组元素类型注入的类，绕过 PolymorphicTypeValidator 校验，可实例化本应被阻止的类，进而执行非预期代码或操纵应用行为。注解式多态与默认 typing 均受影响。
• 旧洞未补净：这是对 CVE-2026-54512（GHSA-j3rv-43j4-c7qm）修复的不完整补丁，DatabindContext.resolveAndValidateGeneric() 用外层基础类型而非声明的泛型绑定校验参数。
• 修复版本：2.18.12、2.21.8、2.22.4、3.1.8、3.2.4；目前无公开 exploit，未列入 CISA KEV。

原文链接 →

「编程与Agent」频道最新

• 神操作:用加拿大原住民字符伪造 Go 泛型,骗过所有读者 — rickasaurus · 2026-10-28
• 微软 Agensh 看板细节:「测试通过」只是一条消息 — shoumikgoswami · 2026-10-28
• Ollama 联手 FriendliAI 11月5日首尔办 Meetup，聚焦开源模型生产级 Agent — ollama · 2026-10-28
• theo 放话：产品逼我去用 Dashboard，我就让 Claude 重建一个 — sull · 2026-10-28
• Magic Patterns 首位工程师自述：Cursor 接 Slack、周末上线全新文件类型 — Y Combinator Blog · 2026-10-28
• 妻子求职10个月无果，程序员丈夫自建AI求职应用并开源 — CurieuxExplorer · 2026-10-28

更多「编程与Agent」频道 AI 资讯 →