CVE-2017-18349
ثغرة في Fastjson قبل الإصدار 1.2.25 تسمح الدالة parseObject في Fastjson قبل الإصدار 1.2.25، كما هو مستخدم في FastjsonEngine في Pippo 1.11.0 ومنتجات أخرى،...
- تم النشر
- 23/10/2018
- محدث
- 17/09/2024
- تخصيص CNA
- mitre
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 2.0
AV:N/AC:L/Au:N/C:C/I:C/A:Cمتوسط · الثلاثين يومًا القادمة
- المئوية
- 98.6%
- تاريخ الموديل
- 12/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
# ثغرة في Fastjson قبل الإصدار 1.2.25 تسمح الدالة `parseObject` في Fastjson قبل الإصدار 1.2.25، كما هو مستخدم في `FastjsonEngine` في Pippo 1.11.0 ومنتجات أخرى، للمهاجمين عن بُعد بتنفيذ كود عشوائي عبر طلب JSON مُصمم بعناية، كما يتضح من خلال URI بصيغة `rmi://` مُصمم بعناية في حقل `dataSourceName` لبيانات HTTP POST المرسلة إلى URI الخاص بـ Pippo `/json`، والذي تتم معالجته بشكل غير صحيح في ملف `AjaxApplication.java`.
المصادر
http/cves/2017/CVE-2017-18349.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- oob: interactsh_reference($.template_text)
fastjson/1.2.24-rce
Fastjson 1.2.24 Deserialization Remote Command Execution (CVE-2017-18349)
Vulhub vulnerability labsالشروط المعلنة
- lab image version: vulhub/fastjson:1.2.24(fastjson/1.2.24-rce/docker-compose.yml:services.web.image)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.