Apache Log4j JSON Template Layout: Improper serialization of non-finite floating-point values in JsonTemplateLayout
Apache Log4j's JsonTemplateLayout, in versions up to and including 2.25.3, produces invalid JSON output when log events contain non-finite floating-point values (NaN, Infinity, or -Infinity), which are prohibited by RFC 8259. This may cause downstream log processing systems to reject or fail to index affected records.
An attacker can exploit this issue only if both of the following conditions are met:
- The application uses
JsonTemplateLayout. - The application logs a
MapMessagecontaining an attacker-controlled floating-point value.
Users are advised to upgrade to Apache Log4j JSON Template Layout 2.25.4, which corrects this issue.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Java / Kotlin (Maven) | org.apache.logging.log4j:log4j-layout-template-json | >= 2.14.0, < 2.25.4, >= 3.0.0-alpha1, <= 3.0.0-beta3 | 2.25.4 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2026-34481
- https://github.com/apache/logging-log4j2/pull/4080
- https://github.com/apache/logging-log4j2
- https://lists.apache.org/thread/n34zdv00gbkdbzt2rx9rf5mqz6lhopcv
- https://logging.apache.org/cyclonedx/vdr.xml
- https://logging.apache.org/log4j/2.x/manual/json-template-layout.html
- https://logging.apache.org/security.html#CVE-2026-34481
- http://www.openwall.com/lists/oss-security/2026/04/10/10
- Vector CVSS
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N- Debilidad (CWE)
CWE-116- Plataforma
- Java / Kotlin (Maven)
- Paquete
org.apache.logging.log4j:log4j-layout-template-json- Publicada
- 10.04.2026
- Actualizado
- 11.10.2026 13:20
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-w35j-pv5h-q9q9 - CC BY 4.0
Historial de vulnerabilidades: org.apache.logging.log4j:log4j-layout-template-json
Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
Esta es la única vulnerabilidad conocida de este paquete.
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.