CVE-2019-14439

总结

在 FasterXML jackson-databind 2.x（2.9.9.2 之前版本）中发现了一个多态类型（Polymorphic Typing）问题。当对外暴露的 JSON 端点启用了默认类型（Default Typing）（无论是全局启用还是针对特定属性启用），且服务的类路径中包含 logback jar 时，便会触发此问题。

• CVE-2019-14439PoC

  Jackson-databind 远程代码执行漏洞 (CVE-2019-14439) 的概念验证利用，针对 Java 应用程序中的不安全反序列化。