Fastjson 1.2.83 远程代码执行漏洞(QVD-2026-43021)

Fastjson 是阿里巴巴开源的一款高性能 Java JSON 解析库，以其出色的解析速度和简洁的 API 设计在国内Java生态系统中占据主导地位，广泛应用于企业后端服务、微服务网关、数据接口层等核心业务场景。该库支持将 Java 对象序列化为 JSON 字符串，以及将 JSON 字符串反序列化为 Java 对象，提供了丰富的配置选项和扩展能力，被大量国内企业和开发者集成到各类 Web 应用、API 接口和中间件系统中，是 Java 领域使用最广泛的 JSON 处理组件之一。 该漏洞源于组件反序列化内部类型校验逻辑存在缺陷，突破传统 AutoType 黑白名单防护机制；仅未开启 SafeMode 的实例可被攻击，且无需目标服务 classpath 存在任何第三方 gadget 利用类，传统删除危险依赖、更新黑名单的防御手段完全失效。攻击者可构造携带恶意 JSON 载荷，通过网络请求传入目标服务，触发 Fastjson 原生内部逻辑完成任意代码执行。漏洞无需攻击者获取账号权限、无需用户交互，默认配置即可触发，成功利用后攻击者可完全控制服务器，窃取业务数据、植入木马、横向渗透内网，造成核心业务沦陷、数据泄露等严重后果。