AutoType è una funzionalità di Fastjson che può risolvere automaticamente un valore JSON in una classe Java durante il parsing. Invece di trattare l'input come semplici dati, il parser può usare suggerimenti di tipo incorporati per decidere quale oggetto creare. Questa comodità può essere utile in ambienti fidati, ma è anche sensibile dal punto di vista della sicurezza perché amplia il potere del parser sugli input controllati da un attaccante.
Nella sicurezza informatica, AutoType è importante perché i bug di deserializzazione spesso iniziano quando JSON non fidato può influenzare la selezione degli oggetti. Se un'applicazione vulnerabile accetta un payload appositamente costruito, la risoluzione del tipo può aiutare un attaccante a raggiungere percorsi di codice inattesi, attivare gadget insicuri o aggirare le ipotesi dell'applicazione sulla struttura dei dati. In genere i difensori riducono questo rischio disabilitando AutoType, usando impostazioni predefinite più sicure, limitando i tipi accettati e trattando tutto il JSON esterno come non fidato. In pratica, AutoType è una delle impostazioni che i team di sicurezza esaminano per prime quando valutano l'esposizione di Fastjson.