文章总结： Fastjson2在版本≤2.0.62中存在AutoType类型解析绕过漏洞(CVSS9.0)。攻击者可通过构造含冒号或感叹号的@type值绕过校验，触发远程代码执行。临时缓解措施为立即开启SafeMode禁用AutoType，并等待官方修复版本。建议用户优先采取此安全措施。 综合评分： 81 文章分类： 漏洞分析,安全工具,安全建设

Fastjson2爆AutoType绕过全版本远程代码执行

原创

X。x X。x

船山信安

2026年7月28日 12:10 广东

在小说阅读器读本章

去阅读

“

SafeMode 没开的 Fastjson2，等于把 远程代码执行 的大门敞着。

Fastjson2出事了。7月27号，Fastjson2的AutoType类型解析绕过 ，编号 LDYVUL-2026-00140458， CVSS给到9.0 。用到这个库的应用，只要把用户可控的JSON直接丢给解析器，又没开SafeMode， 远程代码执行的大门可能一直开着 。

说起来 Fastjson 这套东西，老用户都不陌生。当年Fastjson1的AutoType反序列化闹过多少风波，谁能想到Fastjson2也栽在同一个坑的变种上。

这次的问题出在类型解析的校验逻辑。按理说没开SupportAutoType的时候，解析器不该理JSON里的@type字段 。可这个漏洞偏偏能绕过那道校验 ，攻击者构造特定的@type值，让恶意类型信息一路蹚进类加载流程。到了那一步，满足利用条件就能跑任意代码。

通过官方的修复相关资料，里头的门道就清楚了。问题出在 类型名里带冒号或者感叹号 时，原本的校验没拦住。比如 jar 协议地址那种写法，或者类名里塞个感叹号，都能骗过 AutoType 的检查，直接摸到类加载。修复提交干了几件事，在 ContextAutoTypeBeforeHandler、checkAutoType、TypeUtils.loadClass三处统一加了拦截，类型名只要含冒号或感叹号直接判掉。顺手还补了 白名单文本校验 ，堵住哈希碰撞绕过，把ClassLoader和SQL数据源这类危险类也挡在门外。

text

jar:http://…

com.example.Foo!bar

📌 本文看点

01

绕过原理：@type 校验为何失效

02

影响版本：≤ 2.0.62 全中招

03

临时缓解：SafeMode 一键关

01

IMPACT

影响范围

受影响的版本很干脆，Fastjson2小于等于2.0.62全都中招。GitHub 上的 release 停在2.0.61，Maven 最新的是2.0.62，五月五号那天的构建，一样带洞。修复代码已经在PR里，但截至通告发布，官方还没出带修复的正式稳定版。

02

MITIGATION

临时缓解

临时缓解就一招，开SafeMode，把AutoType整个关掉。几种设置方式，挑顺手的。

bash

JVM 参数

-Dfastjson2.parser.safeMode=true

classpath下的fastjson2.properties里加一行。

properties

fastjson2.parser.safeMode=true

容器环境走JAVA_TOOL_OPTIONS塞同样的JVM参数即可。开了SafeMode，@type 自动类型解析直接失效 ，漏洞利用链从根上断掉。代价是依赖 @type 自动映射的功能得另想办法，但比起被远程执行，这个取舍不难做。

03

STATUS

复现与利用现状

通过构造恶意JSON触发解析流程、验证可造成 远程代码执行 。不过POC和EXP目前都未公开 ，我这里只讲机制和缓解，不贴可用利用代码，那种东西放出去只会帮到不该帮的人。

💡 公开 本文只讲机制与缓解，不提供可用利用代码。

04

REFERENCE

参考链接

想跟源码的自己可以去看。一个是修复PR的改动，一个是官方issue。

https://github.com/alibaba/fastjson2/pull/7695/changes

https://github.com/alibaba/fastjson2/issues/7702

∞

THE END

安全建议

立刻开SafeMode禁掉AutoType，等官方修复版出来再升。

END

如果你觉得今天这篇有收获，欢迎 点赞、在看、转发 三连，我们下篇见。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：船山信安 X。x X。x《Fastjson2爆AutoType绕过全版本远程代码执行》