[Question]: Guidance on jackson-coreutils vulnerabilities in legacy Swagger compatibility dependency

評価

調査の方向性

説明

We use `io.swagger.parser.v3:swagger-parser:2.1.23` in a Java 8 application.

The application must currently retain support for parsing legacy Swagger 1.2 documents, in addition to Swagger 2.0 and OpenAPI 3 documents.

Our resolved dependency tree shows that Swagger 1.2 compatibility is provided through the legacy `swagger-compat-spec-parser` module:

`jackson-coreutils:2.0` is currently being reported for:

- CVE-2026-86513
- CVE-2026-86511
- CVE-2026-86321

Is there a supported release, replacement dependency, or recommended remediation that removes or patches `jackson-coreutils:2.0` while retaining:

- Swagger 1.2 conversion
- Java 8 compatibility
- Swagger 2.0 and OpenAPI 3 parsing

We understand that Swagger Parser 2.x does not document native support for Swagger 1.2. In our case, that behavior is coming from the transitive `swagger-compat-spec-parser:1.0.71` module.

We would prefer an upstream-supported solution rather than maintaining a private fork.

## Affected Version

`io.swagger.parser.v3:swagger-parser:2.1.23`

Runtime: Java 8

## Context

We tested the following configurations:

1. With all dependencies present:
   - Swagger 1.2 parsing succeeds
   - Swagger 2.0 parsing succeeds
   - OpenAPI 3 parsing succeeds

2. After removing only `jackson-coreutils`:
   - Swagger 2.0 and OpenAPI 3 parsing still succeed
   - Swagger 1.2 parsing fails with:

3. After excluding the legacy `swagger-compat-spec-parser` dependency chain:
   - Swagger 2.0 and OpenAPI 3 parsing succeed
   - Swagger 1.2 is no longer parsed

This indicates that `jackson-coreutils` is required at runtime specifically by the legacy Swagger 1.2 compatibility path.

We would appreciate guidance on the preferred upstream solution:

1. Is `swagger-compat-spec-parser` still maintained, and would a dependency-remediation PR be considered?
2. Is there an existing Java 8-compatible replacement or patched release?
3. Should remediation be proposed in this repository, or directly in the `jackson-coreutils` project?
4. Is removal of Swagger 1.2 support now the only supported migration path?

## Additional Details

Related upstream reports:

- https://github.com/java-json-tools/jackson-coreutils/issues/64
- https://github.com/java-json-tools/jackson-coreutils/issues/65
- https://github.com/java-json-tools/jackson-coreutils/issues/66

環境構築

はじめの一歩

1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
3. リポジトリをフォークし、ブランチを切って変更します。
4. issue 番号を参照したプルリクエストを送ります。

swagger-api/swagger-parser のほかの issue

• InlineModelResolver.uniqueName throws StringIndexOutOfBoundsException for titles starting with a separator (camelCaseFlattenNaming)

  対応中かも @arimu1 が 54 日前に担当しました。 オープン

  ⋯この Issue の問題を報告

  • 何か問題がありますか？

  • すでに着手されている
  • 初心者向けではない
  • 古い・無効
  • その他…
  • 送信 キャンセル

  難易度 2/5 1〜3時間 初心者へのやさしさ 78/100

  swagger-api/swagger-parser#2386 · 2026年8月24日 に作成

• [OpenAPI v3]Not parsed the extensions in schema that with $ref field

  オープン

  ⋯この Issue の問題を報告

  • 何か問題がありますか？

  • すでに着手されている
  • 初心者向けではない
  • 古い・無効
  • その他…
  • 送信 キャンセル

  難易度 2/5 1〜3時間 初心者へのやさしさ 72/100

  swagger-api/swagger-parser#2168 · 2025年3月27日 に作成

• ResolveFully fails on internal references when the initial spec is read from a file URL

  対応中かも このイシューにリンクされたプルリクエストがオープン中、またはマージ済みです。 オープン

  ⋯この Issue の問題を報告

  • 何か問題がありますか？

  • すでに着手されている
  • 初心者向けではない
  • 古い・無効
  • その他…
  • 送信 キャンセル

  難易度 2/5 1〜3時間 初心者へのやさしさ 65/100

  swagger-api/swagger-parser#1922 · コメント 2 件 · リアクション 1 件 · 2023年5月7日 に作成

• [Bug]: 2.1.48 2xx response written as $ref: '#/components/responses/X' generates void.

  オープン

  ⋯この Issue の問題を報告

  • 何か問題がありますか？

  • すでに着手されている
  • 初心者向けではない
  • 古い・無効
  • その他…
  • 送信 キャンセル
  Bug

  難易度 3/5 1〜2日 初心者へのやさしさ 55/100

  swagger-api/swagger-parser#2408 · 2026年10月21日 に作成

• [Bug]: Discriminator mapping of a oneOf nested in array items gets a null key and is no longer updated after external ref resolution (regression since 2.1.36)

  対応中かも @wyhasany が 9 日前に担当しました。 オープン

  ⋯この Issue の問題を報告

  • 何か問題がありますか？

  • すでに着手されている
  • 初心者向けではない
  • 古い・無効
  • その他…
  • 送信 キャンセル

  難易度 3/5 1〜2日 初心者へのやさしさ 25/100

  swagger-api/swagger-parser#2406 · コメント 1 件 · 2026年10月13日 に作成

swagger-api/swagger-parser の issue をすべて見る

似ている issue

• Add property to disable cytoscape from stealing focus

  オープン

  ⋯この Issue の問題を報告

  • 何か問題がありますか？

  • すでに着手されている
  • 初心者向けではない
  • 古い・無効
  • その他…
  • 送信 キャンセル
  enhancement

  難易度 2/5 1〜3時間 初心者へのやさしさ 65/100

  cytoscape/cytoscape#46 · 2026年10月22日 に作成

• 🐛 [BUG] 空闲时后台反复读取应用列表（AppInfoCache 启动全量扫描，结果无人使用）

  オープン

  ⋯この Issue の問題を報告

  • 何か問題がありますか？

  • すでに着手されている
  • 初心者向けではない
  • 古い・無効
  • その他…
  • 送信 キャンセル
  bug

  難易度 2/5 1〜3時間 初心者へのやさしさ 72/100

  ReChronoRain/HyperCeiler#1743 · 2026年10月22日 に作成

  メンテナーはふだん 6 日以内に返信

• Weaviate: bump test image to 1.39.13 (CVE-2026-111943) and identify solon-ai via integration header

  オープン

  ⋯この Issue の問題を報告

  • 何か問題がありますか？

  • すでに着手されている
  • 初心者向けではない
  • 古い・無効
  • その他…
  • 送信 キャンセル

  難易度 2/5 1〜3時間 初心者へのやさしさ 72/100

  opensolon/solon-ai#127 · 2026年10月22日 に作成

• Unlinked file search fails when .gitignore contains a literal opening brace

  オープン

  ⋯この Issue の問題を報告

  • 何か問題がありますか？

  • すでに着手されている
  • 初心者向けではない
  • 古い・無効
  • その他…
  • 送信 キャンセル
  status: needs-triage

  難易度 2/5 1〜3時間 初心者へのやさしさ 78/100

  JabRef/jabref#17546 · コメント 1 件 · 2026年10月22日 に作成

  メンテナーはふだん 1 日以内に返信

• TCK server: forward commonTransactionParams.highVolume (HIP-1313)

  オープン

  ⋯この Issue の問題を報告

  • 何か問題がありますか？

  • すでに着手されている
  • 初心者向けではない
  • 古い・無効
  • その他…
  • 送信 キャンセル

  難易度 2/5 1〜3時間 初心者へのやさしさ 86/100

  hiero-ledger/hiero-sdk-java#3010 · 2026年10月22日 に作成

  メンテナーはふだん 1 日以内に返信

Java の issue をもっと見る