Jackson 3.0.1 (tools.jackson.core) in Flowable 8.0.0 has several HIGH CVEs, please upgrade to ≥ 3.1.7
维护者通常 1 天内回复
还没有人认领这个 Issue。
评估
调研方向
Start by locating the dependency management for Jackson in Flowable’s build and checking how flowable-engine-common declares jackson-core and jackson-databind. The reporter says importing Jackson BOM 3.1.7 makes the test suite pass; verify that dependency alignment and run the relevant tests. Done means Flowable uses a Jackson version that addresses the listed vulnerabilities without breaking the tests.
由索引模型根据 Issue 内容生成。
描述
We're using Flowable 8.0.0, the latest release (2026-02-27):
org.flowable:flowable-engine:8.0.0org.flowable:flowable-dmn-engine:8.0.0org.flowable:flowable-dmn-engine-configurator:8.0.0
Our vulnerability scanner reports several HIGH vulnerabilities in the Jackson 3 dependencies. org.flowable:flowable-engine-common:8.0.0 pulls in tools.jackson.core:jackson-core and tools.jackson.core:jackson-databind in version 3.0.1.
Vulnerabilities
| Vulnerability | Package | Fixed in |
|---|---|---|
| CVE-2026-29062 | jackson-core | 3.1.0 |
| GHSA-2m67-wjpj-xhg9 | jackson-core | 3.1.1 |
| CVE-2026-54512 | jackson-databind | 3.1.4 |
| CVE-2026-54513 | jackson-databind | 3.1.4 |
| CVE-2026-68494 | jackson-core | 3.1.4 |
| CVE-2026-68497 | jackson-databind | 3.1.6, 3.2.2 |
| CVE-2026-89407 | jackson-core | 3.1.7, 3.2.2 |
| CVE-2026-89425 | jackson-core | 3.1.7, 3.2.3 |
| CVE-2026-91776 | jackson-databind | 3.1.7, 3.2.3 |
| CVE-2026-91777 | jackson-databind | 3.1.7, 3.2.3 |
Jackson 3.1.7 fixes all of them.
Workaround
As a workaround, we import tools.jackson:jackson-bom:3.1.7 in our <dependencyManagement>. Our test suite passes with Flowable 8.0.0 on Jackson 3.1.7.
Question
Could you upgrade Jackson to 3.1.7 (or 3.2.3), and is a release with the upgrade planned?
- 主要语言
- Java
- 星标
- 9.6k
- 派生
- 2.9k
- 平均合并
- 1 天 3 小时
- 30 天内合并 PR
- 6
环境准备
- 没有 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 没有贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
flowable/flowable-engine 的其他 Issue
-
FlowableMultiInstanceActivityEventImpl#isSequential() typo issue可能已有人在做 @maxim618 于 32 天前认领。 未关闭
难度 1/5 1 小时以内 新手友好度 88/100
flowable/flowable-engine#4268 ·
维护者通常 1 天内回复
-
BpmnModel#addEscalation method implement error可能已有人在做 @Rohith1551 于 1 天前认领。 未关闭
难度 3/5 1-2 天 新手友好度 55/100
flowable/flowable-engine#4306 · 2 条评论 ·
维护者通常 1 天内回复
-
Intermittent EmptyStackException during CDI bean resolution with Weld and asynchronous jobs可能已有人在做 @adityaanikam 于 4 天前认领。 未关闭
难度 4/5 3-5 天 新手友好度 48/100
flowable/flowable-engine#4302 ·
维护者通常 1 天内回复
-
难度 5/5 一周以上 新手友好度 30/100
flowable/flowable-engine#4293 ·
维护者通常 1 天内回复
-
难度 4/5 3-5 天 新手友好度 35/100
flowable/flowable-engine#4292 ·
维护者通常 1 天内回复
查看 flowable/flowable-engine 的全部 Issue
相似的 Issue
-
area/plugin good first issue
难度 2/5 1-3 小时 新手友好度 85/100
kestra-io/plugin-soda#137 ·
-
area/plugin good first issue
难度 2/5 1-3 小时 新手友好度 82/100
kestra-io/plugin-aws#816 ·
维护者通常 2 天内回复
-
area/plugin good first issue
难度 2/5 1-3 小时 新手友好度 88/100
kestra-io/plugin-kestra#200 ·
维护者通常 1 天内回复
-
bug untriaged
难度 1/5 1 小时以内 新手友好度 92/100
opensearch-project/search-relevance#618 ·
维护者通常 3 天内回复
-
[Studio][Bug] Invalid ACL wildcard entries inflate the risk score可能已有人在做 关联的 PR 仍在进行中或已合并。 未关闭
难度 2/5 1-3 小时 新手友好度 72/100
apache/rocketmq-dashboard#6716 ·
维护者通常 3 天内回复