漏洞背景

Fastjson2 是 Alibaba Fastjson 项目的 2.x 重构版本，提供 Java JSON 序列化与反序列化能力。
Fastjson2 2.0.62及以下版本在 AutoType 类型名校验中存在 FNV-1a 哈希碰撞绕过，攻击者可碰撞构造符合内置白名单类哈希的类名后缀，触发远程类加载实现任意代码执行。

风险等级

高危

漏洞状态

截止2026年07月27日16:00:00（UTC+8）

漏洞细节	PoC状态	在野利用
已公开	暂未公开	暂未发现

影响范围

• Fastjson2 <= 2.0.62

修复建议

• 官方暂未发布修复版本，请持续关注官方通告升级至最新修复版本

• 或开启SafeMode

缓解措施

• 使用防火墙/安全组限制服务环境出网请求

参考链接

1. https://mp.weixin.qq.com/s/LJaul1jNjK9pXRAkoUiMEA

2. https://github.com/alibaba/fastjson2/pull/7695/changes

3. https://github.com/alibaba/fastjson2/pull/7703/changes

4. https://github.com/alibaba/fastjson2/security