В статье разбирается CVE-2026-83557 в библиотеке jackson-databind, которую сканеры зависимостей помечают как критичную и требуют срочного патча. Поводом стал тикет от сканера с высоким CVSS и упоминанием полиморфной десериализации, что обычно запускает авральный hotfix.

Автор показывает, что не каждая уязвимость с громким описанием действительно опасна на практике. Уязвимость затрагивает полиморфную десериализацию — механизм, который сам по себе требует включения определённых настроек и наличия подходящего гаджета в classpath.

Разбирается, при каких конфигурациях эксплуатация вообще возможна, а в каких случаях код уязвим лишь теоретически. Многие проекты используют jackson-databind в режиме, где опасный функционал отключён по умолчанию.

Отдельно поднимается тема того, как сканеры зависимостей оценивают серьёзность по формальным признакам, игнорируя реальный контекст использования библиотеки. Это приводит к лишним авралам и ночным деплоям.

В итоге автор призывает не патчить вслепую по одному лишь номеру CVE, а сначала оценивать фактическую достижимость уязвимости в конкретном приложении. Такой подход экономит время команд и снижает риск сломать прод срочным фиксом.