漏洞背景

Fastjson是一个知名Java组件库，用于实现Java对象和JSON字符串的序列化和反序列化。
Fastjson 1.2.83及以下版本存在远程代码执行漏洞，在JDK8 URLClassLoader、SpringBoot LaunchedURLClassLoader类加载器、自定义远程类加载器等环境下，攻击者可以触发远程类加载实现任意代码执行。

风险等级

严重

漏洞状态

截止2026年07月20日23:15:00（UTC+8）

漏洞细节	PoC状态	在野利用
已公开	已公开	暂未发现

影响范围

• 1.2.68 <= Fastjson <= 1.2.83

修复建议

• 将Fastjson升级至2.x版本

• 或开启SafeMode

Code：
ParserConfig.getGlobalInstance().setSafeMode(true);

JVM：
-Dfastjson.parser.safeMode=true

缓解措施

• 使用防火墙/安全组限制服务环境出网请求

参考链接

1. https://x.com/k_firsov/status/2078872293745570032

2. https://mp.weixin.qq.com/s/cfz3mrZdnobLEjQ9f6UWjA