Veille sécuritéBackend & données
P4Moyenne
Une entrée JSON profondément imbriquée peut provoquer un StackOverflowError lors de son analyse et faire échouer le thread qui la traite. La version affectée est com.vaadin.external.google:android-json 0.0.20131108.vaadin1 ; aucun correctif n’est prévu, et le remplacement conseillé est org.json:json 20231013 ou une version ultérieure.
Java
IdentifiantCVE-2026-110974
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110974
Analyse technique
Le parseur org.json appelle récursivement nextValue() pour chaque niveau d’imbrication, sans limite de profondeur. Un document JSON profondément imbriqué peut provoquer un java.lang.StackOverflowError au lieu d’une JSONException.
Impact, versions et correctif
Événement datéRetenu : la publication NVD est datée du 2026-10-22, dans la période demandée, et décrit une vulnérabilité ainsi qu’une mesure d’atténuation. La mise à jour NVD du même jour est également indiquée, mais aucun correctif n’est annoncé.
ImpactUn attaquant pouvant faire analyser un JSON non fiable profondément imbriqué peut provoquer une erreur de pile et faire échouer le thread d’analyse.
Versions affectéescom.vaadin.external.google:android-json 0.0.20131108.vaadin1
ContournementRemplacer l’artefact par une implémentation org.json qui limite la profondeur d’imbrication, par exemple org.json:json 20231013 ou ultérieure.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.3
EPSS0,25% · percentile 15,8%
Publication2026-10-22T09:17:13.450Z
Mise à jour2026-10-22T15:37:23.163Z
Action recommandée
Remplacer la dépendance vulnérable par une implémentation qui limite la profondeur d’imbrication ; aucun correctif n’est prévu pour l’artefact concerné.
Sources
Priorisation DFS : P4 · 1 source(s).