一、漏洞详情
Fastjson是阿里巴巴开源的一款高性能Java JSON解析库，广泛应用于企业后端服务、微服务网关、数据接口层等核心场景。
近日，相关部门监测到Fastjson存在远程代码执行漏洞。该漏洞源于Fastjson内部的类型处理机制存在可被利用的缺陷。过往所有Fastjson RCE均依赖目标classpath中存在特定"gadget类"，防御侧可通过黑名单或移除危险依赖来缓解。本次漏洞彻底打破这个前提，攻击者无需目标环境存在任何已知危险类，也无法通过类型绑定的调用形式加以阻止，单条构造payload即可触发代码执行。攻击者可在服务器上执行任意代码，可能导致服务器被完全控制、数据泄露或业务系统沦陷。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
Fastjson <= 1.2.83
三、修复建议
建议尽快升级至Fastjson2，以规避1.x系列存在的安全漏洞与反序列化风险。升级时需按官方迁移指南调整API调用及配置，并在测试环境完成功能与性能验证，确保业务无损。
