# Fastjson 1.x 被曝无 gadget 高危 RCE 漏洞

Source: https://www.zaihua.news/article/42678/

[返回新闻流](https://www.zaihua.news/)
2026年7月20日 · 22:32 · [在花新闻](https://www.zaihua.news/about/)

# Fastjson 1.x 被曝无 gadget 高危 RCE 漏洞

安全研究人员 Kirill Firsov 披露，Fastjson 1.2.68 至 1.2.83 版本存在高危远程代码执行漏洞。该漏洞无需开启 autoTypeSupport，也无需依赖 classpath gadget，在 JDK 8/17/21 等版本上均可利用。

Fastjson 1.x 已于 2024 年 10 月停止维护，官方极大概率不会为此推送安全补丁。报告作者指出，唯一补救措施是升级到 Fastjson2，或在启动参数及配置文件中启用 SafeMode。建议用户立即排查相关依赖，并尽快迁移至仍在维护的 JSON 解析库。

[Kirill Firsov](https://x.com/k_firsov/status/2078872293745570032)

🌸 [在花频道](http://t.me/ZaiHuaPd) · [茶馆水群](https://t.me/zaihuachat) · [投稿通道](http://t.me/ZaiHuabot)

[放大预览](https://cdn.zaihua.news/main/42678/mtproto-0-75fd3a2a88ee4531.mp4)

[上一条美军常用 App 被指嵌入中俄代码 引发国家安全担忧](https://www.zaihua.news/article/42677/)[下一条欧盟拟向美开放生物识别数据以换取免签待遇](https://www.zaihua.news/article/42679/)