CVE-2026-71253
CVE-2026-71253 · Apache Johnzon: ClassConverter loads & static-initializes an attacker-named class from untrusted JSON
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Apache Johnzon. ClassConverter loads & static-initializes an attacker-named class from untrusted JSON. This issue affects Apache Johnzon: from 1.0.0 before 2.2.0. Users are recommended to upgrade to version 1.3.1 (javax namespace) or 2.2.0 (jakarta specification namespace), which fixes the issue.
CVSS 9.8 · Critique · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
apache johnzon
- Versions du logiciel
- ≥ 2.0.0, < 2.2.0: Concernée (semver)
- ≥ 1.0.0, < 1.3.1: Concernée (semver)
Mettez à jour vers 1.3.1; Mettez à jour vers 2.2.0