新的 fastjson 漏洞

fastjson

漏洞

新

26 replies • 2026-07-25 12:21:47 +08:00

NewYear

Jul 24

1

唉，这玩意，纯坑啊

tanrenye

Jul 24

2

虽然但是现在为什么还要用 1.x 版本

hinate

Jul 24

3

不都到 2.0.62 版本了吗？ 1.X 版本都不维护了。

connor123

Jul 24

4

springboot 自带 JacksonJson ，我也不理解用 fastjson 的人怎么想的

devzhi

Jul 24

5

这玩意究竟是谁在用

LeegoYih

Jul 24

6

用这个的人也不在乎什么 CVE 了

4seasons

Jul 24

1

7

搞不懂 java 都快迭代到 version 30 了，還沒有一個完美的 json 解析器...

GPLer

Jul 24

8

@4seasons
[JEP 540: Simple JSON API (Incubator)]( https://openjdk.org/jeps/540) 官方准备出手了
[JEP 198: Light-Weight JSON API]( https://openjdk.org/jeps/198) 话说之前好像就有一个

xtreme1

Jul 24

9

@4seasons #7 之前的 Java log 标准库推广非常不成功.

msg7086

Jul 24

10

不慌，我们用的 Jackson ，一样有洞要经常补。

xiangyuecn

Jul 24

11

支付宝最新 sdk 还在依赖 2022 年的 1.2.83_noneautotype 有啥说法吗😂

https://mvnrepository.com/artifact/com.alipay.sdk/alipay-sdk-java/4.40.906.ALL/dependencies

@connor123 有的选吗🤡

wuxinling

Jul 24

12

戈登的心里咯噔了一下，好吧，我们还在用。恰好 1.2.83

ala2008

Jul 24

13

我们就中反 shell ，不知道是不是因为这个

maocat

Jul 24

14

安全，fast ，简单之不可能三角

jlkm2010

Jul 24

15

升级到 2.x

fbu11

Jul 24

16

2.x 版本也出了好几年了吧，为啥还要坚持 1.x,能迁移尽早迁

MIUIOS

Jul 24

17

@4seasons 主要是要求很多。。。傻瓜式的解析

kpprotector

Jul 24

18

不知道这东西的需求是啥。
如果是在 JSON 基础上扩展功能也可以理解。
很多不符合 JSON RFC 的 JSON 也支持解析，不知道怎么想的。

chinni

Jul 24

1

19

net 的，不是 java 开发，但是管了一些开发 java 的。看了些代码，真的就是 java 的 json 感觉一直都是问题。。。

paranoiagu

Jul 24 via Android

20

不想升级 jar 包的，可以加 jvm 参数进入安全模式

povsister

Jul 24 via iPhone

21

在 java 玩 json 真的是福报

cnevil

Jul 24

22

@xiangyuecn _noneautotype 版本是不受影响的，等同于开启 safemode

xiaomushen

Jul 24

23

@devzhi 国内一堆作坊在用！

zerovoid

Jul 24

24

fastjson 是真的坑

lesismal

Jul 25

25

人家叫 "fast"json ，又不是叫 "safe"json ！

Java 已经在下跌大趋势了，都是因为被你们这样黑！你们这些黑子还有完没完了！

😂😂😂

PaulSamuelson

Jul 25

1

26

@lesismal 你就说快不快吧