Свежая CVE 2026, миллионы непропатченных эндпойнтов

выкладывай на общак, интригантка, исполнители найдутся

найди исполнителя, лукавый, а слить инфу недолго.
Ибо иначе будет тишина.

жду гарантий публикации;)

@barak 
мой фаворит

первый пошел:

@new - получил вводные, ибо собрался писать статью
Верим. Ждем))

п.с. "поработать вместе " уже в лс предлагали. 
но я не продаюсь (только за деньги)

Итак, по нулям.

Слушай, ты извини, но по такой тематике как то меня не заводит писать статку. У меня щас просто для статей есть материала. 
....
 Ещё раз извини что так вышло. Думал это не займёт много времени

нужно было быстро, чтоб не перетруждаться за 200 баксов, а оно, оказывается,  быстро не дается.

Место автора вакантно ;)
Или таки нужно мобилизовывать @barak ...

за деньги да))

Могу поглядеть, если правда интересно - то запилю и статью за одно

А накинуть вводные за просто так, чтобы усмирить мое любопытство есть возможность?
:ninja::new_moon_with_face:

инфа скинута Почетному автору.
терпим, ждем красивого расклада;)

Ну как там дела со статьей, Почетный автор?;)

хочется уже свежей кровушки, хочется!

убедил. Поскольку  товарищ @barak молчит, выкладываю инфу. Тема для заработка. Но со своими тонкостями
Которые как раз и помешают озолотитися всем подряд

Fastjson-уязвимость ,  официальный номер CVE-2026-16723​

Устаревшей библиотекой Fastjson версии 1.x всё еще активно пользуются, и это является главной причиной всей этой ситуации с уязвимостью. 
Несмотря на то, что она устарела, она глубоко укоренилась во многих Java-проектах, особенно в легаси-системах и в Азиатско-Тихоокеанском регионе .


Проблема в том, что использование этой библиотеки сейчас - прямой путь ко взлому системы, потому что (цитирую ниже):

1. Официального исправления не будет: Библиотека Fastjson 1.x достигла конца своего жизненного цикла и больше не поддерживается разработчиками (Alibaba) . Это означает, что для уязвимости CVE-2026-16723 не существует и не появится патча для версий 1.x .
   
   
2. Эксплуатация происходит прямо сейчас: Хакеры активно используют эту уязвимость в реальных атаках по всему миру, нацеливаясь на компании из финансового сектора, здравоохранения, ритейла и IT . Атаки зафиксированы в первую очередь в США, а также в Сингапуре и Канаде .
   
   
3. Она критична и проста в использовании: Уязвимость позволяет злоумышленнику выполнить код на сервере удаленно, без авторизации и без необходимости в специальных классах-помощниках (gadget'ах) . Она работает в стандартной конфигурации Fastjson 1.x и поражает самый распространенный способ развертывания Spring Boot-приложений — как исполняемый "жирный" JAR-файл (fat-JAR)

А на мой вопрос "что мешает обновится разрабам" бот ответил так (цитирую):

1. Популярность: Spring Boot — это стандарт де-факто для создания веб-приложений на Java. Миллионы проектов используют его.
2. Зависимости: Многие такие проекты для работы с JSON-данными используют Fastjson. Разработчик мог подключить его несколько лет назад, и он "замерз" внутри этого fat-JAR-файла.
3. Сложность обновления: Если в вашем приложении Fastjson спрятан глубоко внутри fat-JAR (особенно если он является транзитивной зависимостью, то есть был подтянут другой библиотекой), его обновление — это не просто заменить файл. Это значит:
   • Найти, где именно он используется.
   • Понять, можно ли его обновить, не сломав другие части приложения.
   • Пересобрать весь fat-JAR и заново развернуть приложение.

Именно поэтому разработчики не могут просто "поставить патч" — часто проще перейти на Fastjson2, но это требует времени и рефакторинга кода. А пока они это делают — их приложения, работающие на устаревшей библиотеке, остаются под ударом хакеров.
                               
 

Что рассказали те, кто пытался выйти на промышленный масштаб: то что лежит в бесплатном поиске шодана и парсится косвенно - недоступно для атак.

То есть

1) проблема идентификации, точного рапроса, признаков либ - как вычленить нужную бибилиотеку по анализу баннеров
2) широкий поиск в стиле масскана

Вообще не было такой цели, просто хотел подогреть общий интерес к невышедшему материалу) 

Тем не менее, имеем что имеем - пойду копаться.

типа - одолжение мне сделал?
"не больно то и надо"+ "фи"

ну-ну. иди. ни один типок, из тех кто клянчил + не поставил.

типа - "жаль что так вышло и никто не написал статью", было бы интересно почитать. Сам-то я не думаю что много чего получу)

типа "столько ломалась" и "набивала себе цену", в чём прикол не палить номер cve если он уже доступен с 23 июля? если бы ты poc выложила с одним примером цели, а так свои проблемы
1) идентификации либы, сравнения патернов (парсинг/валидация)
2) скан на веб-сервисы массканом и последующий парсинг
ты переложила на плечи исполнителя, чтобы потом полакомится в общей массе, преподнося это как "Тема для заработка. Но со своими тонкостями
Которые как раз и помешают озолотитися всем подряд"
но что не сделаешь в рамках развития форума, верно?