fastjson1.x 最新版本疑似又出 RCE 漏洞了

joooooker21 2026-07-20 18:07 1

https://x.com/k_firsov/status/2078872293745570032

还没进 CVE ，官方还没反馈，不确定啥时候会公开

最新回复 (20)

mightofcode 07-20 18:28

1楼

闹麻了我从来没用过哪些所谓的高级特性
谁用过吗？
lzy250 07-20 20:44

2楼

有复现出来的吗
shalou8023 07-20 20:55

3楼

好像是真的，公司安全通告了
SilenceLL 07-20 21:34

4楼

今天腾讯云发了，后面又删了，最快方式貌似是 safemode ，但是用了 type 注解的得改业务了。这个影响太大了
lzy250 07-20 21:49

5楼

@SilenceLL https://cloud.tencent.com/announce/detail/2381 又发了
gullitintanni 07-20 22:03

6楼

这是 fastjson 第几次出安全漏洞了……这种以高性能标榜的库，往往都比竞品更难维护、bug 更多，以至于很多时候这点性能优势已经不值得了。
cnevil 07-20 22:33

7楼

@lzy250 长亭确实发了个图，还是很难想象到了 83 版本还怎么把 autotype 玩出花。。。
owen800q 07-20 22:40

8楼

Fastjson 對比 gson 真的快很多嗎？ parse 10GB 的 json 文件要多久呢
qbqbqbqb 07-20 23:44

9楼

不用这种花里胡哨的库，要主流方案可以用 Jackson ，Spring 框架第一方支持。要高性能有 simdjson 。fastjson 就是路边一条，不知道用它有啥意义，难道就图一个可以像 JS 一样`JSON.xxx(...)`？。
hunterster 07-21 08:59

10楼

simdjson 不能把对象转成字符串啊
xixka 07-21 09:30

11楼

不早就用 fastjson2 了吗
xixka 07-21 09:32

12楼

fastjson1 升级 fastjson2 改一下包名就兼容了。
SilenceLL 07-21 09:37

13楼

@xixka #12 也不是，好多行为都变了，这个太底层了，谁敢随便换。
cheng6563 07-21 09:50

14楼

用 fastjson 的原因就是它的 JSONOBject 能直接当 Map 用，还提供一堆工具方法。
EastLord 07-21 10:06

15楼

fastjson 出过这么多问题，还有很多人用吗？
Plutooo 07-21 10:40

16楼

还是好好的用 jackson ，苦了老旧项目
layxy 07-21 11:28

17楼

升级到 2.x 或者 jackson 吧，三天两头的漏洞修复升级太麻烦了
yangwa 07-21 13:52

18楼

这个版本用的太多了，我看了一下维护的几个系统全部再这个版本内
ruanimal 07-21 13:54

19楼

fastjson -> cvejson
azkaban 07-21 14:29

20楼

2 疑似也受影响，还没报出来