fastjson-tp1fn1

json.org CVE-2022-45688 真阳性与假阳性（WTF ??） 该项目包含一个 fastjson 依赖，存在 CVE-2022-25845 漏洞。 该漏洞的产生原因是 JSON 中的标记被解释为 Java Bean，即通过执行 setter 方法来实例化类并设置属性。这是通过反射实现的。如果类路径中存在某个类，其 setter 可能触发诸如执行代码等行为（在示例中，该类为 Trigger，相应的输入文件为 CVE-2022-25845.json），则该漏洞可以被利用。 有趣的是这里使用了反射，如下面运行包含的测试以演示漏洞时的堆栈跟踪所示。 root@kitploit:...