[Question]: Guidance on jackson-coreutils vulnerabilities in legacy Swagger compatibility dependency

Valutazione

Direzione di ricerca

Descrizione

We use `io.swagger.parser.v3:swagger-parser:2.1.23` in a Java 8 application.

The application must currently retain support for parsing legacy Swagger 1.2 documents, in addition to Swagger 2.0 and OpenAPI 3 documents.

Our resolved dependency tree shows that Swagger 1.2 compatibility is provided through the legacy `swagger-compat-spec-parser` module:

`jackson-coreutils:2.0` is currently being reported for:

- CVE-2026-86513
- CVE-2026-86511
- CVE-2026-86321

Is there a supported release, replacement dependency, or recommended remediation that removes or patches `jackson-coreutils:2.0` while retaining:

- Swagger 1.2 conversion
- Java 8 compatibility
- Swagger 2.0 and OpenAPI 3 parsing

We understand that Swagger Parser 2.x does not document native support for Swagger 1.2. In our case, that behavior is coming from the transitive `swagger-compat-spec-parser:1.0.71` module.

We would prefer an upstream-supported solution rather than maintaining a private fork.

## Affected Version

`io.swagger.parser.v3:swagger-parser:2.1.23`

Runtime: Java 8

## Context

We tested the following configurations:

1. With all dependencies present:
   - Swagger 1.2 parsing succeeds
   - Swagger 2.0 parsing succeeds
   - OpenAPI 3 parsing succeeds

2. After removing only `jackson-coreutils`:
   - Swagger 2.0 and OpenAPI 3 parsing still succeed
   - Swagger 1.2 parsing fails with:

3. After excluding the legacy `swagger-compat-spec-parser` dependency chain:
   - Swagger 2.0 and OpenAPI 3 parsing succeed
   - Swagger 1.2 is no longer parsed

This indicates that `jackson-coreutils` is required at runtime specifically by the legacy Swagger 1.2 compatibility path.

We would appreciate guidance on the preferred upstream solution:

1. Is `swagger-compat-spec-parser` still maintained, and would a dependency-remediation PR be considered?
2. Is there an existing Java 8-compatible replacement or patched release?
3. Should remediation be proposed in this repository, or directly in the `jackson-coreutils` project?
4. Is removal of Swagger 1.2 support now the only supported migration path?

## Additional Details

Related upstream reports:

- https://github.com/java-json-tools/jackson-coreutils/issues/64
- https://github.com/java-json-tools/jackson-coreutils/issues/65
- https://github.com/java-json-tools/jackson-coreutils/issues/66

Preparare l'ambiente

Come iniziare

1. Leggi tutta la issue e poi la guida ai contributi del progetto.
2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
3. Fai un fork del repository e lavora su un branch.
4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di swagger-api/swagger-parser

• InlineModelResolver.uniqueName throws StringIndexOutOfBoundsException for titles starting with a separator (camelCaseFlattenNaming)

  Forse già presa @arimu1 l’ha presa 55 giorni fa. Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100

  swagger-api/swagger-parser#2386 · Aperta il 24/8/2026

• [OpenAPI v3]Not parsed the extensions in schema that with $ref field

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100

  swagger-api/swagger-parser#2168 · Aperta il 27/3/2025

• ResolveFully fails on internal references when the initial spec is read from a file URL

  Forse già presa Una pull request collegata a questa issue è aperta o già unita. Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 65/100

  swagger-api/swagger-parser#1922 · 2 commenti · 1 reazione · Aperta il 7/5/2023

• [Bug]: 2.1.48 2xx response written as $ref: '#/components/responses/X' generates void.

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  Bug

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 55/100

  swagger-api/swagger-parser#2408 · Aperta il 21/10/2026

• [Bug]: Discriminator mapping of a oneOf nested in array items gets a null key and is no longer updated after external ref resolution (regression since 2.1.36)

  Forse già presa @wyhasany l’ha presa 9 giorni fa. Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 3/5 1-2 giorni Idoneità per principianti 25/100

  swagger-api/swagger-parser#2406 · 1 commento · Aperta il 13/10/2026

Tutte le issue di swagger-api/swagger-parser

Issue simili

• JavaDocImpl.comment() throws on a javadoc containing a literal {n}

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 78/100

  CodeLaser/maddi#166 · Aperta il 23/10/2026

  I maintainer di solito rispondono entro 1 giorno

• MapDownloadSwingTable#getSwingComponent:73 - java.lang.IllegalArgumentException

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  2026 Error Report

  Difficoltà 2/5 1-3 ore Idoneità per principianti 68/100

  triplea-game/triplea#15096 · Aperta il 23/10/2026

  I maintainer di solito rispondono entro 1 giorno

• [Bug][API] Switching workflow versions leaves schedules online

  Forse già presa @zhuangchong l’ha presa oggi. Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 82/100

  apache/dolphinscheduler#18731 · Aperta il 23/10/2026

  I maintainer di solito rispondono entro 1 giorno

• Implement JDBC Domain Enums (`SqlCategory`, `SqlExecutionStatus`, `SqlExecutionType`) in Core Module

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla
  core-module enhancement good first issue

  Difficoltà 1/5 1-3 ore Idoneità per principianti 87/100

  sdlc-pro/spring-lens#531 · Aperta il 23/10/2026

  I maintainer di solito rispondono entro 1 giorno

• [Studio][Bug] Alert rule list omits instance binding from MCP output

  Aperta

  ⋯Segnala un problema con questa issue

  • Qualcosa non va?

  • Già presa in carico
  • Non adatta ai principianti
  • Obsoleta o non valida
  • Altro…
  • Invia Annulla

  Difficoltà 2/5 1-3 ore Idoneità per principianti 72/100

  apache/rocketmq-dashboard#7340 · Aperta il 23/10/2026

  I maintainer di solito rispondono entro 3 giorni

Altre issue su Java