JSON 漏洞列表

Appspace 6.2.4存在漏洞，允许通过api/v1/core/proxy/jsonprequest接口来进行服务端请求伪造，危害系统安全。 fofa-query: "Sign-in-to-Appspace-Core"

海康威视综合安防管理平台存在Fastjson远程命令执行漏洞，该漏洞可执行系统命令，直接获取服务器权限。 Fofa: app="HIKVISION-综合安防管理平台" Fofa: icon_hash="136203464" Hunter: web.icon="753466eed2bbef2bae18b55994d1d2ae"

云匣子authService接口处使用存在漏洞 fastjson 组件，未授权的攻击者可通过fastjson 序列化漏洞对云匣子发起攻击获取服务器权限 Fofa: app="云安宝-云匣子" ZoomEye: app:"云安宝 云匣子" Hunter: app.name="云安宝·云匣子"

parseObject in Fastjson before 1.2.25, as used in FastjsonEngine in Pippo 1.11.0 and other products, allows remote attackers to execute arbitrary code via a crafted JSON request, as demonstrated by a crafted rmi-// URI in the dataSourceName field of HTTP POST data to the Pippo /json URI, which is mishandled in AjaxApplication.java.

Detects command injection vulnerability by checking if `hacked.txt` is created and contains the expected content.

该漏洞检测暴露的 JSON 配置文件，这些文件可能包含敏感信息，包括 API 密钥、访问令牌、AWS 凭据、数据库配置、基础 URL、文件路径和应用程序设置。这些文件通常包含生产配置和凭据，不应公开访问。

Fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将JavaBean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。由于具有执行效率高的特点，应用范围广泛。监测到Fastjson官方发布公告称在1.2.80及以下版本中存在新的反序列化风险，在特定条件下可绕过默认autoType关闭限制，从而反序列化有安全风险的类，攻击者利用该漏洞可实现在目标机器上的远程代码执行。

fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将JavaBean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean，由于具有执行效率高的特点，应用范围广泛。利用该漏洞在autoType关闭的情况下仍然可以绕过黑白名单防御机制，造成远程命令执行漏洞。

Fastjson是一款基于Java的快速JSON解析器/生成器。 Fastjson 1.2.83 之前版本存在安全漏洞，该漏洞源于容易绕过默认的 autoType 关闭限制来反序列化不受信任的数据，攻击者利用该漏洞可以攻击远程服务器。

SuperJson是一个Json解析器和生成器，其设计遵循无语言特性，可以用任何编程语言实现；Blitz.js是一个全栈 React Web 框架，基于 Next.js 构建。

探测存在fastjsonFastjson是阿里巴巴公司开源的一款json解析器，其性能优越，被广泛应用于各大厂商的Java项目中。fastjson于1.2.24版本后增加了反序列化白名单，而在1.2.48以前的版本中，攻击者可以利用特殊构造的json字符串绕过白名单检测，成功执行任意命令。

fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。

探测存在fastjson反序列化并存在mysql.jdbc利用链

探测存在fastjson反序列化并存在commons.io

jsonpickle through 1.4.1 存在安全漏洞，该漏洞允许通过decode()函数在恶意负载反序列化期间远程执行代码。

fastjson 在 json 对象的 @type 字段的处理上存在一些问题，当用户提交一个精心构造的恶意的序列化数据到服务器端时，可能导致远程任意代码执行漏洞。 payload 示例 ```json { "@type": "com.sun.rowset.JdbcRowSetImpl", "dataSourceName": "rmi://url", "autoCommit": true } ``` CVE-2017-18349 为该漏洞第一次出现时候的编号，后续 fastjson 还有多次版本发布来解决黑名单、白名单绕过等问题。 绝大多数情况下，漏洞依赖于 fastjson 开启了 autotype 特性，此时，fastjson 将使用黑名单模式，命中黑名单的类将无法进行反序列化，提示 autoType is not support。但是 fastjson 的黑名单绕过比较多，可能存在一些安全风险。 如果没有开启 autotype，fastjson 将使用白名单模式，此白名单是代码中硬编码以及可以自己添加的，但是偶尔也有被发现白名单中的类也存在安全风险的，比如在 1.2.47 和 1.2.67 中修复的安全漏洞都是和白名单相关。 经研究在版本 <= 1.2.80 该利用在特定条件下可绕过默认autoType关闭限制，攻击远程服务器，风险影响较大。