新的 fastjson 漏洞

[kasusa]

https://github.com/0x7eTeam/fastjson-1.2.83-rce

[NewYear]

唉，这玩意，纯坑啊

[tanrenye]

虽然但是现在为什么还要用 1.x 版本

[hinate]

不都到 2.0.62 版本了吗？ 1.X 版本都不维护了。

[connor123]

springboot 自带 JacksonJson ，我也不理解用 fastjson 的人怎么想的

[devzhi]

这玩意究竟是谁在用

[LeegoYih]

用这个的人也不在乎什么 CVE 了

[4seasons]

搞不懂 java 都快迭代到 version 30 了，還沒有一個完美的 json 解析器...

[GPLer]

@4seasons
[JEP 540: Simple JSON API (Incubator)]( https://openjdk.org/jeps/540) 官方准备出手了
[JEP 198: Light-Weight JSON API]( https://openjdk.org/jeps/198) 话说之前好像就有一个

[xtreme1]

@4seasons #7 之前的 Java log 标准库推广非常不成功.

[msg7086]

不慌，我们用的 Jackson ，一样有洞要经常补。

[xiangyuecn]

支付宝最新 sdk 还在依赖 2022 年的 1.2.83_noneautotype 有啥说法吗😂

https://mvnrepository.com/artifact/com.alipay.sdk/alipay-sdk-java/4.40.906.ALL/dependencies

@connor123 有的选吗🤡

[wuxinling]

戈登的心里咯噔了一下，好吧，我们还在用。恰好 1.2.83

[ala2008]

我们就中反 shell ，不知道是不是因为这个

[maocat]

安全，fast ，简单 之不可能三角

[jlkm2010]

升级到 2.x

[fbu11]

2.x 版本也出了好几年了吧，为啥还要坚持 1.x,能迁移尽早迁

[MIUIOS]

@4seasons 主要是要求很多。。。傻瓜式的解析

[kpprotector]

不知道这东西的需求是啥。
如果是在 JSON 基础上扩展功能也可以理解。
很多不符合 JSON RFC 的 JSON 也支持解析，不知道怎么想的。

[chinni]

net 的，不是 java 开发，但是管了一些开发 java 的。 看了些代码，真的就是 java 的 json 感觉一直都是问题。。。

[paranoiagu]

不想升级 jar 包的， 可以加 jvm 参数进入安全模式

[povsister]

在 java 玩 json 真的是福报

[cnevil]

@xiangyuecn _noneautotype 版本是不受影响的，等同于开启 safemode

[xiaomushen]

@devzhi 国内一堆作坊在用！

[zerovoid]

fastjson 是真的坑

[lesismal]

人家叫 "fast"json ，又不是叫 "safe"json ！

Java 已经在下跌大趋势了，都是因为被你们这样黑！你们这些黑子还有完没完了！

😂😂😂

[PaulSamuelson]

@lesismal 你就说快不快吧