CVE-2026-16723
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Podatność na zdalne wykonanie kodu (RCE) w fastjson w wersjach 1.2.68 do 1.2.83. Podatność jest wykorzystywana przy domyślnej konfiguracji, bez konieczności włączania AutoType ani posiadania gadżetów na ścieżce klas.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze używającym podatnej wersji fastjson, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaleca się aktualizację fastjson do wersji nowszej niż 1.2.83, która naprawia tę podatność.
Inne podatności w fastjson
Zobacz wszystkie- CVE-2025-70974Krytyczne
Podatność w Fastjson przed wersją 1.2.48 umożliwia atakującemu wstrzyknięcie JNDI poprzez manipulację kluczem @type w dokumencie JSON. Atakujący może wywołać publiczne metody określonej klasy Java, co prowadzi do zdalnego wykonania kodu. Luka była aktywnie wykorzystywana w latach 2023-2025.
- CVE-2024-23052Krytyczne
W WukongCRM w wersji 72crm_9.0.1_20191202 wykryto podatność umożliwiającą zdalnemu atakującemu wykonanie dowolnego kodu poprzez funkcję parseObject() w komponencie fastjson.
Oryginalny opis (angielski, źródło NVD)
A remote code execution (RCE) vulnerability exists in fastjson 1.2.68 through 1.2.83. This vulnerability is exploitable under fastjson's stock default configuration — no AutoType enablement required, no classpath gadget required.