一、漏洞描述
Fastjson 是阿里巴巴开源的Java JSON 解析库，凭借其高性能和简洁的API 在国内Java 生态中占据主导地位，广泛应用于企业后端服务、微服务网关、数据接口层等核心场景。
近日，安全研究人员披露了Fastjson 中存在的远程代码执行漏洞。该漏洞源于Fastjson 内部类型处理机制存在安全缺陷，通过构造恶意JSON 数据触发Fastjson 内部执行逻辑，实现远程代码执行。
二、影响范围
Fastjson <=1 .2 .83
三、安全建议
建议升级至Fastjson 2 .x 系列版本，避免继续使用存在安全风险的Fastjson 1 .x 分支。升级前需根据官方迁移指南完成兼容性测试。
缓解措施：对无法立即升级的Fastjson 1 .x 环境，建议启用Fastjson Saf eMod e 安全模式，关闭危险类型解析能力。
1 .启用方式：
（1）通过代码启用：ParserConfig .getGlobalInstance().setSafeMode(true);
（2）通过JVM 参数启用：-Dfastjson .parser.safeMode=true;
（3）通过配置文件启用：fastjson.parser.safeMode=true
2 .WAF 规则配置：
拦截请求体中key 包含@type字段的JSON数据。@type是FastjsonautoType机制的触发键，历史上所有相关RCE 均依赖此字段。注意需同时覆盖URL参数和请求体两个位置，并注意编码绕过。
