Уязвимость CVE-2019-12086 - Документация Инкоманд

В FasterXML jackson-databind 2.x до версии 2.9.9 была обнаружена проблема с полиморфным типизированием. Когда для внешней конечной точки JSON включено типизирование по умолчанию (глобально или для конкретного свойства), в пути к классам сервиса есть jar-файл mysql-connector-java (версии 8.0.14 или более ранней), и злоумышленник может разместить на сервере MySQL, доступном для жертвы, специально подготовленное сообщение JSON, которое позволит ему читать произвольные локальные файлы на сервере. Это происходит из-за отсутствия проверки com.mysql.cj.jdbc.admin.MiniAdmin.

Данная уязвимость устранена в релизе Инкоманд 7.3.5.1.