CVE-2025-49128

Jackson-core contiene abstracciones de analizador y generador incrementales ("streaming") de bajo nivel que utiliza Jackson Data Processor. A partir de la versión 2.0.0 y anteriores a la 2.13.0, una falla en el método `JsonLocation._appendSourceDesc` de jackson-core permite incluir hasta 500 bytes de contenido de memoria no deseado en los mensajes de excepción. Al analizar JSON desde una matriz de bytes con un desplazamiento y una longitud, el mensaje de excepción lee incorrectamente desde el principio de la matriz en lugar del inicio lógico del payload. Esto puede provocar la divulgación de información en sistemas que utilizan búferes agrupados o reutilizados, como Netty o Vert.x. Este problema se solucionó de forma silenciosa en la versión 2.13.0 de jackson-core, publicada el 30 de septiembre de 2021, mediante la solicitud de registro n.° 652. Todos los usuarios deben actualizar a la versión 2.13.0 o posterior. Si la actualización no es posible de inmediato, las aplicaciones pueden mitigar el problema deshabilitando la exposición de mensajes de excepción a los clientes para evitar devolver mensajes de excepción de análisis en respuestas HTTP y/o deshabilitando la inclusión de fuente en excepciones para evitar que Jackson incorpore cualquier contenido de fuente en los mensajes de excepción, evitando fugas.