joooooker21
V2EX  ›  Java

fastjson1.x 最新版本疑似又出 RCE 漏洞了

  •  
  •   joooooker21 · Jul 20 · 4166 views
    This topic created in 105 days ago, the information mentioned may be changed or developed.
    https://x.com/k_firsov/status/2078872293745570032

    还没进 CVE ,官方还没反馈,不确定啥时候会公开
    21 replies  •  2026-07-21 16:59:35 +08:00
    mightofcode
    1
    闹麻了 我从来没用过哪些所谓的高级特性
    谁用过吗?
    lzy250
    lzy250
    Jul 20
    2
    有复现出来的吗
    shalou8023
    3
    好像是真的,公司安全通告了
    SilenceLL
    SilenceLL
    Jul 20 via iPhone
    4
    今天腾讯云发了,后面又删了,最快方式貌似是 safemode ,但是用了 type 注解的得改业务了。这个影响太大了
    gullitintanni
    6
    这是 fastjson 第几次出安全漏洞了……这种以高性能标榜的库,往往都比竞品更难维护、bug 更多,以至于很多时候这点性能优势已经不值得了。
    cnevil
    cnevil
    Jul 20
    7
    @lzy250 长亭确实发了个图,还是很难想象到了 83 版本还怎么把 autotype 玩出花。。。
    owen800q
    owen800q
    Jul 20 via iPhone
    8
    Fastjson 對比 gson 真的快很多嗎? parse 10GB 的 json 文件要多久呢
    qbqbqbqb
    qbqbqbqb
    Jul 20
    9
    不用这种花里胡哨的库,要主流方案可以用 Jackson ,Spring 框架第一方支持。要高性能有 simdjson 。fastjson 就是路边一条,不知道用它有啥意义,难道就图一个可以像 JS 一样`JSON.xxx(...)`?。
    hunterster
    10
    simdjson 不能把对象转成字符串啊
    xixka
    xixka
    Jul 21
    11
    不早就用 fastjson2 了吗
    xixka
    xixka
    Jul 21
    12
    fastjson1 升级 fastjson2 改一下包名就兼容了。
    SilenceLL
    SilenceLL
    Jul 21
    13
    @xixka #12 也不是,好多行为都变了,这个太底层了,谁敢随便换。
    cheng6563
    cheng6563
    Jul 21
    14
    用 fastjson 的原因就是它的 JSONOBject 能直接当 Map 用,还提供一堆工具方法。
    EastLord
    EastLord
    Jul 21
    15
    fastjson 出过这么多问题,还有很多人用吗?
    Plutooo
    Plutooo
    Jul 21
    16
    还是好好的用 jackson ,苦了老旧项目
    layxy
    layxy
    Jul 21
    17
    升级到 2.x 或者 jackson 吧,三天两头的漏洞修复升级太麻烦了
    yangwa
    yangwa
    Jul 21
    18
    这个版本用的太多了,我看了一下维护的几个系统全部再这个版本内
    ruanimal
    ruanimal
    Jul 21
    19
    fastjson -> cvejson
    azkaban
    azkaban
    Jul 21
    20
    2 疑似也受影响,还没报出来
    CQCQCQ
    CQCQCQ
    Jul 21
    21
    bugjson
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   5177 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 51ms · UTC 01:19 · PVG 09:19 · LAX 17:19 · JFK 20:19
    ♥ Do have faith in what you're doing.