[Question]: Guidance on jackson-coreutils vulnerabilities in legacy Swagger compatibility dependency
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 5/5
- Thời gian dự kiến
- Hơn một tuần
- Mức phù hợp với người mới
- 8/100
- Loại issue
- Tái cấu trúc
- Độ rõ ràng
- Cần làm rõ
- Mức độ hoạt động
- Sôi nổi
- Công nghệ
- java
- Lĩnh vực
- build-system, security
Hướng nghiên cứu
The problem is the transitive chain swagger-parser-v2-converter → swagger-compat-spec-parser:1.0.71 → json-schema-validator / json-patch → jackson-coreutils:2.0, which is needed only for the Swagger 1.2 path (NoClassDefFoundError on com.github.fge.jackson.jsonpointer.JsonPointer). Done would need a maintainer decision on whether to keep, replace or drop Swagger 1.2 support, so this is not a starting point for a first contribution.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
We use `io.swagger.parser.v3:swagger-parser:2.1.23` in a Java 8 application.
The application must currently retain support for parsing legacy Swagger 1.2 documents, in addition to Swagger 2.0 and OpenAPI 3 documents.
Our resolved dependency tree shows that Swagger 1.2 compatibility is provided through the legacy `swagger-compat-spec-parser` module:
io.swagger.parser.v3:swagger-parser:2.1.23
└── io.swagger.parser.v3:swagger-parser-v2-converter:2.1.23
├── io.swagger:swagger-parser:1.0.71
└── io.swagger:swagger-compat-spec-parser:1.0.71
├── com.github.java-json-tools:json-schema-validator:2.2.14
│ └── com.github.java-json-tools:json-schema-core:1.2.14
│ └── com.github.java-json-tools:jackson-coreutils:2.0
└── com.github.java-json-tools:json-patch:1.13
└── com.github.java-json-tools:jackson-coreutils:2.0
`jackson-coreutils:2.0` is currently being reported for:
- CVE-2026-86513
- CVE-2026-86511
- CVE-2026-86321
Is there a supported release, replacement dependency, or recommended remediation that removes or patches `jackson-coreutils:2.0` while retaining:
- Swagger 1.2 conversion
- Java 8 compatibility
- Swagger 2.0 and OpenAPI 3 parsing
We understand that Swagger Parser 2.x does not document native support for Swagger 1.2. In our case, that behavior is coming from the transitive `swagger-compat-spec-parser:1.0.71` module.
We would prefer an upstream-supported solution rather than maintaining a private fork.
## Affected Version
`io.swagger.parser.v3:swagger-parser:2.1.23`
Runtime: Java 8
## Context
We tested the following configurations:
1. With all dependencies present:
- Swagger 1.2 parsing succeeds
- Swagger 2.0 parsing succeeds
- OpenAPI 3 parsing succeeds
2. After removing only `jackson-coreutils`:
- Swagger 2.0 and OpenAPI 3 parsing still succeed
- Swagger 1.2 parsing fails with:
java.lang.NoClassDefFoundError:
com/github/fge/jackson/jsonpointer/JsonPointer
3. After excluding the legacy `swagger-compat-spec-parser` dependency chain:
- Swagger 2.0 and OpenAPI 3 parsing succeed
- Swagger 1.2 is no longer parsed
This indicates that `jackson-coreutils` is required at runtime specifically by the legacy Swagger 1.2 compatibility path.
We would appreciate guidance on the preferred upstream solution:
1. Is `swagger-compat-spec-parser` still maintained, and would a dependency-remediation PR be considered?
2. Is there an existing Java 8-compatible replacement or patched release?
3. Should remediation be proposed in this repository, or directly in the `jackson-coreutils` project?
4. Is removal of Swagger 1.2 support now the only supported migration path?
## Additional Details
Related upstream reports:
- https://github.com/java-json-tools/jackson-coreutils/issues/64
- https://github.com/java-json-tools/jackson-coreutils/issues/65
- https://github.com/java-json-tools/jackson-coreutils/issues/66- Ngôn ngữ chính
- Java
- Star
- 870
- Fork
- 566
- Chỉ số merge pull request
- Không có pull request nào được merge trong 30 ngày
Chuẩn bị môi trường
- Không có Dockerfile hay tệp Docker Compose
- Có mẫu pull request
- Đọc hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của swagger-api/swagger-parser
-
InlineModelResolver.uniqueName throws StringIndexOutOfBoundsException for titles starting with a separator (camelCaseFlattenNaming)Có thể đã có người làm @arimu1 đã nhận 58 ngày trước. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
swagger-api/swagger-parser#2386 ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
swagger-api/swagger-parser#2168 ·
-
ResolveFully fails on internal references when the initial spec is read from a file URLCó thể đã có người làm Có pull request liên kết đang mở hoặc đã được merge. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 65/100
swagger-api/swagger-parser#1922 · 2 bình luận · 1 reaction ·
-
Bug
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 55/100
swagger-api/swagger-parser#2408 ·
-
[Bug]: Discriminator mapping of a oneOf nested in array items gets a null key and is no longer updated after external ref resolution (regression since 2.1.36)Có thể đã có người làm @wyhasany đã nhận 13 ngày trước. Đang mở
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 25/100
swagger-api/swagger-parser#2406 · 1 bình luận ·
Tất cả issue của swagger-api/swagger-parser
Issue tương tự
-
[BUG] jackson3 JacksonJsonpMapper(ObjectMapper) fails to deserialize `_source` with "Trailing token" errorCó thể đã có người làm @junyeokk đã nhận hôm nay. Đang mởbug untriaged
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100
opensearch-project/opensearch-java#2236 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Posting fails with "Context too long"Có thể đã có người làm @jimklimov đã nhận hôm nay. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 68/100
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 67/100
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 62/100
open-learning-exchange/myplanet#18392 ·
Maintainer thường phản hồi trong vòng 2 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100
linagora/twake-calendar-side-service#1218 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày