jackson.core needs to be upgraded to a secure version(v3.1.0)

オープン

#21,470 2026年3月13日に作成コメント 1 件リアクション 0 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 2/5
見積もり時間: 1〜3時間
初心者へのやさしさ: 45/100

issue の種類: バグ
明瞭さ: おおむね明確
活発さ: 停滞
技術スタック: java
領域: security

調査の方向性

まず、codeql/java/tools/ferstl-depgraph-dependencies/com/fasterxml/jackson/core/jackson-core/2.14.1/jackson-core-2.14.1.jar と、その周辺の依存関係メタデータを調査します。意図されたアップグレードがタイトルにある 3.1.0 なのか、本文にある 2.15.0 なのかを確定し、その結果の依存関係が脆弱性のあるバージョン 2.14.1 ではなくなっていることを確認します。

索引モデルが issue の本文から書いたものです。

説明

question

The current version is 2.14.1 in codeql/java/tools/ferstl-depgraph-dependencies/com/fasterxml/jackson/core/jackson-core/2.14.1/jackson-core-2.14.1.jar.

jackson-core contains core low-level incremental ("streaming") parser and generator abstractions used by Jackson Data Processor. In versions prior to 2.15.0, if a user parses an input file and it has deeply nested data, Jackson could end up throwing a StackoverflowError if the depth is particularly large. jackson-core 2.15.0 contains a configurable limit for how deep Jackson will traverse in an input document, defaulting to an allowable depth of 1000. jackson-core will throw a StreamConstraintsException if the limit is reached. jackson-databind also benefits from this change because it uses jackson-core to parse JSON inputs. As a workaround, users should avoid parsing input files from untrusted sources.

主要言語: CodeQL
スター: 10.1k
フォーク: 2.1k
平均マージ: 2日 16時間
マージ済み PR（30日）: 143

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

github/codeql のほかの issue

[aw] Update rust-analyzer has stale lock file オープン

agentic-workflows

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

github/codeql#22656 · 2026年9月23日に作成
JavaScript externs model StorageEvent() with no type argument オープン

false-positive javascript

難易度 2/5 1〜3時間初心者へのやさしさ 84/100

github/codeql#22632 · コメント 1 件 · 2026年9月20日に作成
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal オープン

難易度 2/5 1〜3時間初心者へのやさしさ 82/100

github/codeql#22556 · 2026年9月14日に作成
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) オープン

難易度 2/5 1〜3時間初心者へのやさしさ 78/100

github/codeql#21637 · コメント 2 件 · 2026年4月2日に作成
Organization owned immutable actions raise warning about unpinned 3rd party actions tag オープン

false-positive

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

github/codeql#21076 · コメント 3 件 · リアクション 3 件 · 2025年12月21日に作成

github/codeql の issue をすべて見る

似ている issue

Use `charmlibs.interfaces.oauth` instead of deprecated `hydra.oauth` オープン

enhancement

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

canonical/paas-charm#368 · コメント 1 件 · 2026年9月23日に作成
UX: Add explicit 'Sign In' button to header when user is not authenticated (#POLA) オープン

enhancement

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

palladius/rails8-app-on-gcp#142 · 2026年9月23日に作成
addition to tracking list オープン

難易度 1/5 1時間未満初心者へのやさしさ 90/100

StevenBlack/hosts#3256 · 2026年9月23日に作成
Missing security headers on corsair.dev (CSP, X-Frame-Options, etc.) オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

corsairdev/corsair#1764 · 2026年9月23日に作成
[oblt-aw][security] SEC-022 — findings (2026-09-23) オープン

oblt-aw/detector/security

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

elastic/oblt-aw#2127 · リアクション 1 件 · 2026年9月23日に作成

Security の issue をもっと見る