CVE-2025-70974
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Podatność w Fastjson przed wersją 1.2.48 umożliwia atakującemu wstrzyknięcie JNDI poprzez manipulację kluczem @type w dokumencie JSON. Atakujący może wywołać publiczne metody określonej klasy Java, co prowadzi do zdalnego wykonania kodu. Luka była aktywnie wykorzystywana w latach 2023-2025.
Ocena ryzyka
Organizacja narażona jest na zdalne przejęcie kontroli nad serwerem, wyciek danych lub całkowite naruszenie integralności systemu. Atak może być przeprowadzony bez uwierzytelnienia, co zwiększa ryzyko.
Rekomendacja
Należy natychmiast zaktualizować Fastjson do wersji 1.2.48 lub nowszej. Dodatkowo, zaleca się wyłączenie automatycznego przetwarzania typu (autoType) oraz zastosowanie reguł filtrowania dla klucza @type.
Oryginalny opis (angielski, źródło NVD)
Fastjson before 1.2.48 mishandles autoType because, when an @type key is in a JSON document, and the value of that key is the name of a Java class, there may be calls to certain public methods of that class. Depending on the behavior of those methods, there may be JNDI injection with an attacker-supplied payload located elsewhere in that JSON document. This was exploited in the wild in 2023 through 2025. NOTE: this issue exists because of an incomplete fix for CVE-2017-18349. Also, a later bypass is covered by CVE-2022-25845.