@seclink: 这个漏洞有人公开过了吗？ 影响范围：fastjson2 ≤ 2.0.64 原理如下： 漏洞编号（报告内）：F1 — fastjson2 ≤ 2.0.64 ObjectReaderImplObject 在处理 @type 时先按 FNV-1…

X AI KOLs Following 新闻
security vulnerability fastjson2 deserialization autotype-bypass java

摘要

披露 fastjson2 ≤ 2.0.64 中存在反序列化绕过漏洞（F1），可绕过 AutoType 黑名单校验；官方修复已合入主分支但尚未发布。

这个漏洞有人公开过了吗？ 影响范围：fastjson2 ≤ 2.0.64 原理如下： 漏洞编号（报告内）：F1 — fastjson2 ≤ 2.0.64 ObjectReaderImplObject 在处理 @type 时先按 FNV-1a 64 位哈希直接查 hashCache，跳过 checkAutoType 的类型名黑名单校验，实现 AutoType 禁用/黑名单场景下的反序列化绕过。 官方修复：PR #7753fix: unify AutoType authorization to type name and reject hash-cache hit（commit e2bde524c），已合入 origin/main（merge commit af56f06ee），未包含在任何已发布版本中（2.0.64 不含，2.0.65 当时未发布）。
查看原文
查看缓存全文

缓存时间: 2026/08/09 15:24

这个漏洞有人公开过了吗？

影响范围：fastjson2 ≤ 2.0.64

原理如下：

漏洞编号（报告内）：F1 — fastjson2 ≤ 2.0.64 ObjectReaderImplObject 在处理 @type 时先按 FNV-1a 64 位哈希直接查 hashCache，跳过 checkAutoType 的类型名黑名单校验，实现 AutoType 禁用/黑名单场景下的反序列化绕过。

官方修复：PR #7753fix: unify AutoType authorization to type name and reject hash-cache hit（commit e2bde524c），已合入 origin/main（merge commit af56f06ee），未包含在任何已发布版本中（2.0.64 不含，2.0.65 当时未发布）。

相似文章

@AdamShao: 正式开源我的漏洞挖掘工具：http://flounders.xyz 这是一个基于 AI Agent 的全自动漏洞挖掘工作流，你只要告诉 AI 你要找什么项目的漏洞，它就会自动下载代码和文档，深度审计代码，发现可疑漏洞，自动在本地和线上验证…

X AI KOLs Timeline

Flounder is an open-source AI agent-based tool that automates vulnerability discovery in codebases. Users describe the target and the tool autonomously downloads code, conducts deep code audits, tests vulnerabilities locally and online, and generates reports.