jackson.core needs to be upgraded to a secure version(v3.1.0)

未關閉

#21,470 建立於 2026年3月13日 1 則留言 0 個 reaction 已指派 0 人在 GitHub 檢視

還沒有人認領這個 Issue。

評估

難度: 2/5
預估耗時: 1-3 小時
新手友好度: 45/100

Issue 類型: 缺陷
描述清晰度: 基本清楚
活躍度: 停滯
技術堆疊: java
領域: security

研究方向

先檢查 codeql/java/tools/ferstl-depgraph-dependencies/com/fasterxml/jackson/core/jackson-core/2.14.1/jackson-core-2.14.1.jar 及其周邊的依賴中繼資料。確認預期的升級是標題中的 3.1.0，還是內文中的 2.15.0，然後驗證產生的依賴不再是存在漏洞的 2.14.1 版本。

由索引模型根據 Issue 內容生成。

描述

question

The current version is 2.14.1 in codeql/java/tools/ferstl-depgraph-dependencies/com/fasterxml/jackson/core/jackson-core/2.14.1/jackson-core-2.14.1.jar.

jackson-core contains core low-level incremental ("streaming") parser and generator abstractions used by Jackson Data Processor. In versions prior to 2.15.0, if a user parses an input file and it has deeply nested data, Jackson could end up throwing a StackoverflowError if the depth is particularly large. jackson-core 2.15.0 contains a configurable limit for how deep Jackson will traverse in an input document, defaulting to an allowable depth of 1000. jackson-core will throw a StreamConstraintsException if the limit is reached. jackson-databind also benefits from this change because it uses jackson-core to parse JSON inputs. As a workaround, users should avoid parsing input files from untrusted sources.

主要語言: CodeQL
星號: 10.1k
分支: 2.1k
平均合併: 2 天 16 小時
30 天內合併 PR: 143

貢獻指南

開啟貢獻指南

從這裡開始

先讀完整個 Issue，再讀專案的貢獻指南。
在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
Fork 儲存庫，在一個分支上完成修改。
送出 Pull Request，並在描述裡引用這個 Issue 編號。

github/codeql 的其他 Issue

[aw] Update rust-analyzer has stale lock file 未關閉

agentic-workflows

難度 2/5 1-3 小時新手友好度 70/100

github/codeql#22656 · 2026年9月23日建立
JavaScript externs model StorageEvent() with no type argument 未關閉

false-positive javascript

難度 2/5 1-3 小時新手友好度 84/100

github/codeql#22632 · 1 則留言 · 2026年9月20日建立
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal 未關閉

難度 2/5 1-3 小時新手友好度 82/100

github/codeql#22556 · 2026年9月14日建立
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) 未關閉

難度 2/5 1-3 小時新手友好度 78/100

github/codeql#21637 · 2 則留言 · 2026年4月2日建立
Organization owned immutable actions raise warning about unpinned 3rd party actions tag 未關閉

false-positive

難度 2/5 1-3 小時新手友好度 70/100

github/codeql#21076 · 3 則留言 · 3 個 reaction · 2025年12月21日建立

查看 github/codeql 的全部 Issue

相似的 Issue

Theme loads third-party resources on every page (jsdelivr web font, cdnjs Font Awesome) – GDPR 未關閉

難度 2/5 1-3 小時新手友好度 75/100

docToolchain/docToolchain#1705 · 2026年9月23日建立
OAuth client scope handling breaks on comma-separated scope strings 未關閉

難度 2/5 1-3 小時新手友好度 75/100

modelcontextprotocol/python-sdk#3566 · 2026年9月23日建立
sass-1.105.0.tgz: 1 vulnerabilities (highest severity is: 7.5) 未關閉

Mend: dependency security vulnerability status: needs triage 🕵️‍♀️

難度 2/5 1-3 小時新手友好度 70/100

carbon-design-system/ibm-products#9907 · 2026年9月23日建立
[sec-check] validate-awards.mjs gates four rendered href fields with an /^https:\/\// prefix test, accepting userinfo host-disguise URLs 未關閉

agent/security hive/hosted-available-lke648397-260827-5n31 security

難度 2/5 1-3 小時新手友好度 75/100

cncf/endusers#507 · 2026年9月23日建立
Use `charmlibs.interfaces.oauth` instead of deprecated `hydra.oauth` 未關閉

enhancement

難度 2/5 1-3 小時新手友好度 70/100

canonical/paas-charm#368 · 1 則留言 · 2026年9月23日建立

更多 Security Issue