fastjson 代码执行 （CNVD-2019-22238）
| ID： | 16781 |
|---|---|
| 标题： | fastjson 代码执行 （CNVD-2019-22238） |
| 描述： | fastjson 代码执行 （CNVD-2019-22238） vulfocus/fastjson-cnvd_2019_22238:latest Fastjson 是一个 Java 库,可以将 Java 对象转换为 JSON 格式,当然它也可以将 JSON 字符串转换为 Java 对象 Fastjson提供了autotype功能，允许用户在反序列化数据中通过“@type”指定反序列化的类型，其次，Fastjson自定义的反序列化机制时会调用指定类中的setter方法及部分getter方法，那么当组件开启了autotype功能并且反序列化不可信数据时，攻击者可以构造数据，使目标应用的代码执行流程进入特定类的特定setter或者getter方法中，若指定类的指定方法中有可被恶意利用的逻辑（也就是通常所指的“Gadget”），则会造成一些严重的安全问题。 |
| 类型： | WEB |
| 网站： | vulfocus |
| 题目链接： | https://vulfocus.cn |
| 赛事： | None |
| 年度： | None |
| Flag值： | None |
| writeup： | 登录 https://vulfocus.cn 搜索fastjson 代码执行 （CNVD-2019-22238） |