- Yama var
- Son 7 gün
- CWE-674
CVE-2026-110974
android-json kütüphanesinde iç içe JSON ayrıştırmada kontrolsüz özyineleme hizmet dışı bırakmaya yol açıyor
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- Vaadin
ÖzetTürkçe
com.vaadin.external.google:android-json içindeki org.json ayrıştırıcısı, derinlik sınırı olmadan her iç içe seviye için özyinelemeli olarak çağrı yapıyor. JSONTokener.nextValue metodu readArray ve readObject metotlarını çağırıyor, bunlar da yeniden nextValue metodunu çağırıyor. Varsayılan iş parçacığı yığını ile yaklaşık 20 KB'lık, çok derin iç içe geçmiş dizilerden oluşan bir JSON belgesi, JSONArray ve JSONObject yapıcılarının JSONException yerine ham bir java.lang.StackOverflowError fırlatmasına neden oluyor. Bu kütüphaneyle güvenilmeyen JSON verilerini ayrıştıran her uygulama, ayrıştırmayı yapan iş parçasının başarısız olmasına zorlanabilir. Bu yapıt, üçüncü taraf org.json sınıflarının 2013 yılında yeniden paketlenmiş bir sürümüdür; bir kez yayımlanmış, bir daha bakımı yapılmamıştır ve düzeltilmiş bir sürüm yayımlanmayacaktır. Etkilenen sürümü kullanan kullanıcılar aşağıdaki önlemi uygulamalıdır: Sorunlu sürüm com.vaadin.external.google:android-json 0.0.20131108.vaadin1 olarak belirtilmiştir. Düzeltilmiş bir sürüm yayımlanmayacaktır. Bunun yerine, iç içe geçme derinliğini sınırlayan bir org.json uygulaması, örneğin org.json:json 20231013 veya sonrası kullanılmalıdır. Etkilenen Maven koordinatları: com.vaadin.external.google:android-json, sorunlu sürüm 0.0.20131108.vaadin1, düzeltilmiş sürüm yok.
Kaynaktaki açıklama (İngilizce)
The org.json parser in com.vaadin.external.google:android-json recurses once per nesting level with no depth limit: JSONTokener.nextValue() calls readArray() and readObject(), which call nextValue() again. A deeply nested JSON document, around 20 KB of nested arrays with the default thread stack, makes the JSONArray and JSONObject constructors throw a raw java.lang.StackOverflowError instead of a JSONException. Any application that parses untrusted JSON with this library can be made to fail the thread doing the parsing. The artifact is a 2013 repackage of third-party org.json classes, published once and never maintained, and no fixed version will be released.
Users of the affected version should apply the following mitigation.
Product version
com.vaadin.external.google:android-json 0.0.20131108.vaadin1
Mitigation
No fixed version will be released. Replace the artifact with an org.json implementation that limits the nesting depth, such as org.json:json 20231013 or later.
Artifacts
Maven coordinates / Vulnerable versions / Fixed version
com.vaadin.external.google:android-json / 0.0.20131108.vaadin1 / none
Üreticinin çözüm notu (İngilizce)
No fixed version will be released. Replace the artifact with an org.json implementation that limits the nesting depth, such as org.json:json 20231013 or later.
Üreticinin geçici önlemi (İngilizce)
Exclude com.vaadin.external.google:android-json and depend on an org.json implementation that limits the nesting depth.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vaadin android-json | ≤ 0.0.20131108.vaadin1 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.