CVE-2026-16723
تنفيذ التعليمات البرمجية عن بُعد في fastjson 1.2.68–1.2.83
- تم النشر
- 23/07/2026
- محدث
- 23/07/2026
- تخصيص CNA
- alibaba
- الأدلة المرصودة
- 12/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 50.6%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
ثغرة تنفيذ التعليمات البرمجية عن بُعد (RCE) موجودة في fastjson من الإصدار 1.2.68 حتى 1.2.83. يمكن استغلال هذه الثغرة في ظل التكوين الافتراضي القياسي لـ fastjson — دون الحاجة إلى تفعيل AutoType، ودون الحاجة إلى أداة classpath.
المصادر
- CVE-2026-16723استغلال
استغلال PoC لثغرة RCE في Fastjson (CVE-2026-16723) يتضمن توليد حمولة JAR تلقائيًا وتسليمها عبر JSON مُصمَّم خصيصًا، متجاوزًا قيود AutoType.
- fastjson-cvePoC
مشروع استنساخ لـ CVE-2026-16723، ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) حرجة في fastjson 1.2.68-1.2.83. يوضح تجاوز AutoType، وحقن JNDI، وحمولات TemplatesImpl في الذاكرة مع نقاط نهاية Spring Boot الضعيفة.
- CVE-2026-16723استغلال
يستنسخ ثغرة RCE في fastjson 1.2.83 عبر @JSONType مع هدف Spring Boot هشّ ومولّد حمولة قائم على ASM باستخدام سلاسل jar عبر بروتوكول HTTP أو file.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.