CVE-2022-25845: إلغاء تسلسل البيانات غير الموثوقة | Kitploit

CVE-2022-25845

حرجةتم النشر

إلغاء تسلسل البيانات غير الموثوقة

تم النشر: 10‏/06‏/2022
محدث: 16‏/09‏/2024
تخصيص CNA: snyk
الأدلة المرصودة: 08‏/08‏/2026

CVSS الأساسي

9.8/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

تقدير احتمالية EPSS

18.7‎%‎

متوسط · الثلاثين يومًا القادمة

المئوية: 97.2‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

الحزمة com.alibaba:fastjson قبل الإصدار 1.2.83 معرّضة لثغرة إلغاء تسلسل البيانات غير الموثوقة (Deserialization of Untrusted Data) عن طريق تجاوز قيود إيقاف التشغيل الافتراضية لخاصية autoType، وهو أمر ممكن في ظل ظروف معينة. يتيح استغلال هذه الثغرة مهاجمة الخوادم البعيدة. الحل البديل: إذا لم تكن الترقية ممكنة، يمكنك تمكين [safeMode](https://github.com/alibaba/fastjson/wiki/fastjson_safemode).

المصادر

fastjson-CVE-2022-25845استغلال
استغلال لـ CVE-2022-25845 يستهدف ثغرة إلغاء التسلسل في FastJSON في تطبيقات Java. يتيح تنفيذ تعليمات برمجية عن بُعد عبر حمولات JSON مصممة خصيصًا.
FastjsonVulnsاستغلال
CVE-2022-25845-In-Springاستغلال
استغلال CVE-2022-25845 (fastjson 1.2.80) لبيئات Spring مع PoC خطوة بخطوة، وقراءة الملفات، وكتابة ملفات عشوائية عبر سلاسل إلغاء التسلسل Jackson/commons-io.

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.