CVE-2026-16723
Exécution de code à distance dans fastjson 1.2.68–1.2.83
- Publié
- 23 juil. 2026
- Mise à jour
- 23 juil. 2026
- Attribution de CNA
- alibaba
- Preuve observée
- 12 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 50,6 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Une vulnérabilité d'exécution de code à distance (RCE) existe dans fastjson 1.2.68 à 1.2.83. Cette vulnérabilité est exploitable avec la configuration par défaut standard de fastjson — aucune activation d'AutoType requise, aucun gadget de classpath requis.
Sources
- CVE-2026-16723Exploit
Exploit PoC pour Fastjson RCE (CVE-2026-16723) doté de la génération et de la livraison automatisées de charges utiles JAR via un JSON malveillant, contournant les restrictions AutoType.
- fastjson-cvePoC
Projet de reproduction pour CVE-2026-16723, une RCE critique dans fastjson 1.2.68-1.2.83. Démontre le contournement d'AutoType, l'injection JNDI et les payloads en mémoire TemplatesImpl avec des endpoints Spring Boot vulnérables.
- CVE-2026-16723Exploit
Reproduit la RCE fastjson 1.2.83 @JSONType avec une cible Spring Boot vulnérable et un générateur de payload basé sur ASM utilisant des chaînes jar par protocole HTTP ou fichier.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.