Jackson 3.0.1 (tools.jackson.core) in Flowable 8.0.0 has several HIGH CVEs, please upgrade to ≥ 3.1.7
I maintainer di solito rispondono entro 1 giorno
Nessuno ha ancora preso questa issue.
Valutazione
- Difficoltà
- 2/5
- Tempo stimato
- 1-3 ore
- Idoneità per principianti
- 57/100
Direzione di ricerca
Start by locating the dependency management for Jackson in Flowable’s build and checking how flowable-engine-common declares jackson-core and jackson-databind. The reporter says importing Jackson BOM 3.1.7 makes the test suite pass; verify that dependency alignment and run the relevant tests. Done means Flowable uses a Jackson version that addresses the listed vulnerabilities without breaking the tests.
Scritto dal modello di indicizzazione a partire dal testo della issue.
Descrizione
We're using Flowable 8.0.0, the latest release (2026-02-27):
org.flowable:flowable-engine:8.0.0org.flowable:flowable-dmn-engine:8.0.0org.flowable:flowable-dmn-engine-configurator:8.0.0
Our vulnerability scanner reports several HIGH vulnerabilities in the Jackson 3 dependencies. org.flowable:flowable-engine-common:8.0.0 pulls in tools.jackson.core:jackson-core and tools.jackson.core:jackson-databind in version 3.0.1.
Vulnerabilities
| Vulnerability | Package | Fixed in |
|---|---|---|
| CVE-2026-29062 | jackson-core | 3.1.0 |
| GHSA-2m67-wjpj-xhg9 | jackson-core | 3.1.1 |
| CVE-2026-54512 | jackson-databind | 3.1.4 |
| CVE-2026-54513 | jackson-databind | 3.1.4 |
| CVE-2026-68494 | jackson-core | 3.1.4 |
| CVE-2026-68497 | jackson-databind | 3.1.6, 3.2.2 |
| CVE-2026-89407 | jackson-core | 3.1.7, 3.2.2 |
| CVE-2026-89425 | jackson-core | 3.1.7, 3.2.3 |
| CVE-2026-91776 | jackson-databind | 3.1.7, 3.2.3 |
| CVE-2026-91777 | jackson-databind | 3.1.7, 3.2.3 |
Jackson 3.1.7 fixes all of them.
Workaround
As a workaround, we import tools.jackson:jackson-bom:3.1.7 in our <dependencyManagement>. Our test suite passes with Flowable 8.0.0 on Jackson 3.1.7.
Question
Could you upgrade Jackson to 3.1.7 (or 3.2.3), and is a release with the upgrade planned?
- Lingua principale
- Java
- Stelle
- 9.6k
- Fork
- 2.9k
- Merge medio
- 1g 3h
- PR unite (30g)
- 6
Preparare l'ambiente
- Nessun Dockerfile né file Docker Compose
- Ha un modello di pull request
- Nessuna guida per i contributori
Come iniziare
- Leggi tutta la issue e poi la guida ai contributi del progetto.
- Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
- Fai un fork del repository e lavora su un branch.
- Apri una pull request che faccia riferimento al numero della issue.
Altre issue di flowable/flowable-engine
-
FlowableMultiInstanceActivityEventImpl#isSequential() typo issueForse già presa @maxim618 l’ha presa 29 giorni fa. Aperta
Difficoltà 1/5 Meno di un'ora Idoneità per principianti 88/100
flowable/flowable-engine#4268 ·
I maintainer di solito rispondono entro 1 giorno
-
Intermittent EmptyStackException during CDI bean resolution with Weld and asynchronous jobsForse già presa Una pull request collegata a questa issue è aperta o già unita. Aperta
Difficoltà 4/5 3-5 giorni Idoneità per principianti 48/100
flowable/flowable-engine#4302 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 30/100
flowable/flowable-engine#4293 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 4/5 3-5 giorni Idoneità per principianti 35/100
flowable/flowable-engine#4292 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 5/5 Più di una settimana Idoneità per principianti 30/100
flowable/flowable-engine#4291 ·
I maintainer di solito rispondono entro 1 giorno
Tutte le issue di flowable/flowable-engine
Issue simili
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100
openhab/openhab-addons#21921 ·
I maintainer di solito rispondono entro 1 giorno
-
bug
Difficoltà 2/5 1-3 ore Idoneità per principianti 62/100
jellyfin/jellyfin-androidtv#5885 ·
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 76/100
I maintainer di solito rispondono entro 1 giorno
-
Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100
objectionary/eo-graphs#85 ·
-
XtYaml throws a bare ClassCastException when sheets or asserts is a scalar or holds a non-stringAperta
Difficoltà 2/5 1-3 ore Idoneità per principianti 75/100
objectionary/xax#246 ·
I maintainer di solito rispondono entro 1 giorno