[SebastianLopezO]

Caso

• Origen: Snyk Open Source (code scanning), alertas
  #61 y
  #28. La misma dupla aparece en el escaneo
  central de .github (deps: bump org.springframework.boot:spring-boot-starter-data-redis from 4.0.3 to 4.0.4 #84 y deps: bump redis.clients:jedis from 6.1.0 to 6.2.0 #51).
• Severidad: crítica.
• Problema: Deserialization of Untrusted Data en jackson-databind: DatabindContext solo valida el tipo exterior
  contra el PolymorphicTypeValidator, así que con tipos polimórficos por nombre de clase un atacante puede instanciar
  clases arbitrarias a través de los argumentos genéricos. Spring Boot 4.1.2 gestiona tools.jackson.core 3.1.7 y
  com.fasterxml.jackson.core 2.21.7; el arreglo está en 3.1.8 y 2.21.8.

Cambio

• jackson-bom.version = 3.1.8 y jackson-2-bom.version = 2.21.8 en pom.xml, con la nota de quitarlas cuando
  Spring Boot gestione esas versiones.

Verificación

• mvn dependency:list resuelve jackson-databind y jackson-core 3.1.8 y 2.21.8.
• mvn verify completo en verde.
• La API no usa tipado polimórfico por nombre de clase; el cambio cierra la dependencia vulnerable de todos modos.
• Producción no se despliega desde este PR (marcador [skip deploy]): el despliegue sigue siendo manual.

[github-actions]

Dependency Review

✅ No vulnerabilities or license issues or OpenSSF Scorecard issues found.

Scanned Files

None