Fastjson espone i fat-JAR Spring Boot a RCE senza autenticazione
L'assunto che "AutoType disattivato" basti a mettere in sicurezza Fastjson è falso nei deployment Spring Boot fat-JAR. In quelle applicazioni, un JSON raggiungibile da rete può ancora trasformarsi in codice eseguito con i privilegi del processo Java, anche senza autenticazione e senza bisogno di un gadget di classpath.
ThreatBook e Imperva riferiscono sfruttamento in corso di CVE-2026-16723 su Fastjson 1.2.68–1.2.83. Alibaba ha confermato il problema con CVSS 9.0, ma al 25 luglio non aveva ancora pubblicato una correzione per la linea 1.x; i fix temporanei indicati sono SafeMode con -Dfastjson.parser.safeMode=true oppure fastjson:1.2.83_noneautotype, in attesa della migrazione a Fastjson2.
Per chi gestisce servizi Java esposti, il punto non è la sola versione vulnerabile: è il modello di fiducia del parser, che in un fat-JAR può trattare il dato come istruzione di caricamento. Se l'endpoint JSON resta raggiungibile, il rischio non è una semplice deserializzazione errata ma un path diretto verso RCE non autenticata.