CVE-2026-71253

Les versions 1.0.0 à 2.1.x d'Apache Johnzon constituent une bibliothèque de traitement JSON utilisée par les applications Java pour convertir des données entre le format JSON et des objets Java. La faille se situe dans le composant ClassConverter, qui permet à un utilisateur de spécifier un nom de classe au sein d'une entrée JSON. Comme la bibliothèque ne valide pas correctement ces noms, elle peut être induite en erreur pour charger et initialiser des classes Java arbitraires.

Un attaquant peut exploiter cette vulnérabilité à distance via le réseau, sans aucune authentification ni interaction de l'utilisateur. En envoyant une charge utile JSON spécialement conçue, il peut parvenir à l'exécution complète de code à distance sur le serveur. Cela entraîne une perte totale de confidentialité, d'intégrité et de disponibilité, donnant à l'attaquant un contrôle total sur l'application concernée.