Le parseur CBOR de `jackson-dataformat-cbor` peut subir un déni de service par complexité algorithmique lorsqu’il traite une longue suite de tags CBOR. La croissance incrémentale de la structure qui les accumule entraîne un coût quadratique en temps et une forte pression sur le ramasse-miettes; aucun correctif ni version corrigée n’est précisé dans les éléments fournis.
Source : NVD — CVE-2026-106554
Analyse technique
Dans `CBORParser`, la liste des tags augmente par incréments fixes et est recopiée lors des agrandissements; une suite non bornée de tags provoque un coût quadratique en temps et en GC.
Impact, versions et correctif
Action recommandée
Mettre à niveau vers une version corrigée de la branche utilisée; limiter, si possible, la taille et la complexité des entrées CBOR non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).