kasusa

新的 fastjson 漏洞

  •  
  •   kasusa · Jul 24 · 4415 views
    26 replies    2026-07-25 12:21:47 +08:00
    NewYear
        1
    NewYear  
       Jul 24
    唉,这玩意,纯坑啊
    tanrenye
        2
    tanrenye  
       Jul 24
    虽然但是现在为什么还要用 1.x 版本
    hinate
        3
    hinate  
       Jul 24
    不都到 2.0.62 版本了吗? 1.X 版本都不维护了。
    connor123
        4
    connor123  
       Jul 24
    springboot 自带 JacksonJson ,我也不理解用 fastjson 的人怎么想的
    devzhi
        5
    devzhi  
       Jul 24
    这玩意究竟是谁在用
    LeegoYih
        6
    LeegoYih  
       Jul 24
    用这个的人也不在乎什么 CVE 了
    4seasons
        7
    4seasons  
       Jul 24   ❤️ 1
    搞不懂 java 都快迭代到 version 30 了,還沒有一個完美的 json 解析器...
    GPLer
        8
    GPLer  
       Jul 24
    @4seasons
    [JEP 540: Simple JSON API (Incubator)]( https://openjdk.org/jeps/540) 官方准备出手了
    [JEP 198: Light-Weight JSON API]( https://openjdk.org/jeps/198) 话说之前好像就有一个
    xtreme1
        9
    xtreme1  
       Jul 24
    @4seasons #7 之前的 Java log 标准库推广非常不成功.
    msg7086
        10
    msg7086  
       Jul 24
    不慌,我们用的 Jackson ,一样有洞要经常补。
    xiangyuecn
        11
    xiangyuecn  
       Jul 24
    支付宝最新 sdk 还在依赖 2022 年的 1.2.83_noneautotype 有啥说法吗😂

    https://mvnrepository.com/artifact/com.alipay.sdk/alipay-sdk-java/4.40.906.ALL/dependencies

    @connor123 有的选吗🤡
    wuxinling
        12
    wuxinling  
       Jul 24
    戈登的心里咯噔了一下,好吧,我们还在用。恰好 1.2.83
    ala2008
        13
    ala2008  
       Jul 24
    我们就中反 shell ,不知道是不是因为这个
    maocat
        14
    maocat  
       Jul 24
    安全,fast ,简单 之不可能三角
    jlkm2010
        15
    jlkm2010  
       Jul 24
    升级到 2.x
    fbu11
        16
    fbu11  
       Jul 24
    2.x 版本也出了好几年了吧,为啥还要坚持 1.x,能迁移尽早迁
    MIUIOS
        17
    MIUIOS  
       Jul 24
    @4seasons 主要是要求很多。。。傻瓜式的解析
    kpprotector
        18
    kpprotector  
       Jul 24
    不知道这东西的需求是啥。
    如果是在 JSON 基础上扩展功能也可以理解。
    很多不符合 JSON RFC 的 JSON 也支持解析,不知道怎么想的。
    chinni
        19
    chinni  
       Jul 24   ❤️ 1
    net 的,不是 java 开发,但是管了一些开发 java 的。 看了些代码,真的就是 java 的 json 感觉一直都是问题。。。
    paranoiagu
        20
    paranoiagu  
       Jul 24 via Android
    不想升级 jar 包的, 可以加 jvm 参数进入安全模式
    povsister
        21
    povsister  
       Jul 24 via iPhone
    在 java 玩 json 真的是福报
    cnevil
        22
    cnevil  
       Jul 24
    @xiangyuecn _noneautotype 版本是不受影响的,等同于开启 safemode
    xiaomushen
        23
    xiaomushen  
       Jul 24
    @devzhi 国内一堆作坊在用!
    zerovoid
        24
    zerovoid  
       Jul 24
    fastjson 是真的坑
    lesismal
        25
    lesismal  
       Jul 25
    人家叫 "fast"json ,又不是叫 "safe"json !

    Java 已经在下跌大趋势了,都是因为被你们这样黑!你们这些黑子还有完没完了!

    😂😂😂
    PaulSamuelson
        26
    PaulSamuelson  
       Jul 25   ❤️ 1
    @lesismal 你就说快不快吧
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Solana   ·   5465 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 77ms · UTC 07:41 · PVG 15:41 · LAX 00:41 · JFK 03:41
    ♥ Do have faith in what you're doing.