What is CVE-2026-18401?
CVE-2026-18401 is a vulnerability in the non-blocking (asynchronous) JSON parser of jackson-core where the `maxNumberLength` constraint is not enforced. An attacker can submit an arbitrarily long number token to applications using the async parser API, potentially leading to resource exhaustion. Affected systems should verify `StreamReadConstraints` and update the library.
Azərbaycanca: CVE-2026-18401, jackson-core kitabxanasının qeyri-bloklayıcı (asinxron) JSON parserində `maxNumberLength` məhdudiyyətinin tətbiq edilməməsi zəifliyidir. Bu, təcavüzkara asinxron parser API istifadə edən tətbiqə həddindən artıq uzun rəqəm göndərərək resurs tükənməsi yaratmağa imkan verir. Təsirə məruz qalan sistemlərdə `StreamReadConstraints` parametrləri yoxlanılmalı və kitabxana yenilənməlidir.
Related CVEs
link basis: same weakness class CWE-400
FAQ2
Which specific part of the jackson-core library is affected by CVE-2026-18401?
The vulnerability affects the non-blocking (asynchronous) JSON parser component of the library.
What is the potential impact of exploiting CVE-2026-18401?
An attacker can cause resource exhaustion by submitting an arbitrarily long number token to an application using the async parser API.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.