jackson.core needs to be upgraded to a secure version(v3.1.0)

未关闭

#21,470 创建于 2026年3月13日 1 条评论 0 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 2/5
预计耗时: 1-3 小时
新手友好度: 45/100

Issue 类型: 缺陷
描述清晰度: 基本清楚
活跃度: 停滞
技术栈: java
领域: security

调研方向

首先检查 codeql/java/tools/ferstl-depgraph-dependencies/com/fasterxml/jackson/core/jackson-core/2.14.1/jackson-core-2.14.1.jar 及其周围的依赖元数据。确定预期升级是标题中的 3.1.0 还是正文中的 2.15.0，然后验证生成的依赖不再是存在漏洞的 2.14.1 版本。

由索引模型根据 Issue 内容生成。

描述

question

The current version is 2.14.1 in codeql/java/tools/ferstl-depgraph-dependencies/com/fasterxml/jackson/core/jackson-core/2.14.1/jackson-core-2.14.1.jar.

jackson-core contains core low-level incremental ("streaming") parser and generator abstractions used by Jackson Data Processor. In versions prior to 2.15.0, if a user parses an input file and it has deeply nested data, Jackson could end up throwing a StackoverflowError if the depth is particularly large. jackson-core 2.15.0 contains a configurable limit for how deep Jackson will traverse in an input document, defaulting to an allowable depth of 1000. jackson-core will throw a StreamConstraintsException if the limit is reached. jackson-databind also benefits from this change because it uses jackson-core to parse JSON inputs. As a workaround, users should avoid parsing input files from untrusted sources.

主要语言: CodeQL
星标: 10.1k
派生: 2.1k
平均合并: 2 天 16 小时
30 天内合并 PR: 143

贡献指南

打开贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

github/codeql 的其他 Issue

[aw] Update rust-analyzer has stale lock file 未关闭

agentic-workflows

难度 2/5 1-3 小时新手友好度 70/100

github/codeql#22656 · 2026年9月23日创建
JavaScript externs model StorageEvent() with no type argument 未关闭

false-positive javascript

难度 2/5 1-3 小时新手友好度 84/100

github/codeql#22632 · 1 条评论 · 2026年9月20日创建
C#: cs/simplifiable-boolean-expression false positive on Nullable<bool> compared with a literal 未关闭

难度 2/5 1-3 小时新手友好度 82/100

github/codeql#22556 · 2026年9月14日创建
Add AlertSuppression.ql for Rust (inline // codeql[...] suppression) 未关闭

难度 2/5 1-3 小时新手友好度 78/100

github/codeql#21637 · 2 条评论 · 2026年4月2日创建
Organization owned immutable actions raise warning about unpinned 3rd party actions tag 未关闭

false-positive

难度 2/5 1-3 小时新手友好度 70/100

github/codeql#21076 · 3 条评论 · 3 个 reaction · 2025年12月21日创建

查看 github/codeql 的全部 Issue

相似的 Issue

Theme loads third-party resources on every page (jsdelivr web font, cdnjs Font Awesome) – GDPR 未关闭

难度 2/5 1-3 小时新手友好度 75/100

docToolchain/docToolchain#1705 · 2026年9月23日创建
OAuth client scope handling breaks on comma-separated scope strings 未关闭

难度 2/5 1-3 小时新手友好度 75/100

modelcontextprotocol/python-sdk#3566 · 2026年9月23日创建
sass-1.105.0.tgz: 1 vulnerabilities (highest severity is: 7.5) 未关闭

Mend: dependency security vulnerability status: needs triage 🕵️‍♀️

难度 2/5 1-3 小时新手友好度 70/100

carbon-design-system/ibm-products#9907 · 2026年9月23日创建
[sec-check] validate-awards.mjs gates four rendered href fields with an /^https:\/\// prefix test, accepting userinfo host-disguise URLs 未关闭

agent/security hive/hosted-available-lke648397-260827-5n31 security

难度 2/5 1-3 小时新手友好度 75/100

cncf/endusers#507 · 2026年9月23日创建
Use `charmlibs.interfaces.oauth` instead of deprecated `hydra.oauth` 未关闭

enhancement

难度 2/5 1-3 小时新手友好度 70/100

canonical/paas-charm#368 · 1 条评论 · 2026年9月23日创建

更多 Security Issue