Veille sécuritéBackend & données
P4Moyenne
Dans JSON-java de la version 20150729 à 20260522, la conversion de tokens numériques sans limite de longueur peut consommer un temps CPU disproportionné lors de l’analyse de JSON ou XML contrôlé par un attaquant. Cela peut bloquer des threads de traitement et provoquer un déni de service ; la limite est ajoutée dans la version 20260719.
Java
IdentifiantCVE-2026-59171
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif20260719
Source : NVD — CVE-2026-59171
Analyse technique
JSONTokener.nextSimpleValue peut accumuler des nombres sans borne avant leur conversion par JSONObject.stringToNumber en BigInteger ou BigDecimal. Les modes strict et keep-strings de JSONParserConfiguration ne protègent pas ce chemin.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité.
ImpactConsommation excessive de CPU et blocage possible des threads lors de l’analyse de données contrôlées par l’attaquant.
Versions affectéesVersions 20150729 à 20260522 incluses.
Version corrigée20260719
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-11-06T21:17:09.390Z
Mise à jour2026-11-06T21:17:09.390Z
Action recommandée
Mettre à niveau vers JSON-java 20260719 ou une version ultérieure corrigée.
Sources
Priorisation DFS : P4 · 1 source(s).