EXPLOIT PÚBLICO

CVE-2026-16723 Ejecución remota de código en fastjson 1.2.68 a 1.2.83

Existe una vulnerabilidad de ejecución remota de código (RCE) en fastjson 1.2.68 hasta 1.2.83. Es explotable con la configuración predeterminada de fastjson: no requiere habilitar AutoType ni un gadget de classpath.

Alerta de Nureq Monitor

Detectada 19 OCT · 22:59

CVSS 3.1

9.0CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,7 % PERCENTIL 51

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2026-16723

Productos y versiones afectadas

Alibaba Fastjson
- desde 1.2.68 hasta 1.2.83

Qué hacer

Verificá si usás Fastjson y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

cuttlefish520/FastJson1.2.83-GenProbe2 CVE-2026-16723 reproduction toolkit - fastjson 1.2.83 jar: remote class-loading payload generator (ASM-built POC.class with @JSONType + clinit exec)PUBLICADO 19 OCT · 22:59

Calculadora CVSS

CVSS 3.1 · 9.0 CRÍTICA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Alta
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Cambiado
CONFIDENCIALIDAD (C): Alta
INTEGRIDAD (I): Alta
DISPONIBILIDAD (A): Alta

Abrir la calculadora completa

Descripción original

A remote code execution (RCE) vulnerability exists in fastjson 1.2.68 through 1.2.83. This vulnerability is exploitable under fastjson's stock default configuration — no AutoType enablement required, no classpath gadget required.

Referencias

github.com/alibaba/fastjson2/wiki/Security-Advisory:-Remote-Code-Execution-in-fastjson-1…VENDOR-ADVISORY · MITIGATION

Historial de la alerta

19 OCT · 22:59EXPLOIT PÚBLICO Se publicó el repositorio cuttlefish520/FastJson1.2.83-GenProbe2.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.