Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Jackson 3.0.1 (tools.jackson.core) in Flowable 8.0.0 has several HIGH CVEs, please upgrade to ≥ 3.1.7

Đang mở
  • Có gì không ổn?
#4,300 0 bình luận 1 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
2/5
Thời gian dự kiến
1-3 giờ
Mức phù hợp với người mới
57/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
java
Lĩnh vực
backend, security

Hướng nghiên cứu

Start by locating the dependency management for Jackson in Flowable’s build and checking how flowable-engine-common declares jackson-core and jackson-databind. The reporter says importing Jackson BOM 3.1.7 makes the test suite pass; verify that dependency alignment and run the relevant tests. Done means Flowable uses a Jackson version that addresses the listed vulnerabilities without breaking the tests.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

We're using Flowable 8.0.0, the latest release (2026-02-27):

  • org.flowable:flowable-engine:8.0.0
  • org.flowable:flowable-dmn-engine:8.0.0
  • org.flowable:flowable-dmn-engine-configurator:8.0.0

Our vulnerability scanner reports several HIGH vulnerabilities in the Jackson 3 dependencies. org.flowable:flowable-engine-common:8.0.0 pulls in tools.jackson.core:jackson-core and tools.jackson.core:jackson-databind in version 3.0.1.

Vulnerabilities

Vulnerability Package Fixed in
CVE-2026-29062 jackson-core 3.1.0
GHSA-2m67-wjpj-xhg9 jackson-core 3.1.1
CVE-2026-54512 jackson-databind 3.1.4
CVE-2026-54513 jackson-databind 3.1.4
CVE-2026-68494 jackson-core 3.1.4
CVE-2026-68497 jackson-databind 3.1.6, 3.2.2
CVE-2026-89407 jackson-core 3.1.7, 3.2.2
CVE-2026-89425 jackson-core 3.1.7, 3.2.3
CVE-2026-91776 jackson-databind 3.1.7, 3.2.3
CVE-2026-91777 jackson-databind 3.1.7, 3.2.3

Jackson 3.1.7 fixes all of them.

Workaround

As a workaround, we import tools.jackson:jackson-bom:3.1.7 in our <dependencyManagement>. Our test suite passes with Flowable 8.0.0 on Jackson 3.1.7.

Question

Could you upgrade Jackson to 3.1.7 (or 3.2.3), and is a release with the upgrade planned?

Ngôn ngữ chính
Java
Star
9.6k
Fork
2.9k
Merge trung bình
1 ngày 3 giờ
Pull request đã merge (30 ngày)
6

Chuẩn bị môi trường

  • Không có Dockerfile hay tệp Docker Compose
  • Có mẫu pull request
  • Không có hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của flowable/flowable-engine

Tất cả issue của flowable/flowable-engine

Issue tương tự

Thêm issue về Java

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.