当前使用情况：doris-manager使用的是25.0.0版本，接管3.0.5版本doris集群；
存在漏洞：doris-manager/deps/webui/lib/doris-webui.jar(BOOT-INF/lib/fastjson-1.2.83.jar）
1.2.68=<fastjson(jar) version <=1.2.83 存在漏洞，可以怎么解决？
1）是否可以将doris-manager升级到哪个版本，修复了这个漏洞？doris-manager升级以后，apache-doris-3.0.5版本是否还能正常被接管使用
2）可以到哪里下载doris-manager源码（找不到对应源码），修改fasjson版本重新打包
Doris Manager25.0.0版本 fastjson版本漏洞
Viewed 53
2 Answers
- manager 不是开源产品，是免费让大家使用的企业产品，所以不会有源码。
- 你可以尝试升级至 25.3 版本，manager 从26版本开始不支持开源 Doris，只支持selectdb 了，但是25版本会继续维护，可以继续使用。但是修复节奏不定。
我们运维给了几个建议，看看是否有用：
临时修复建议：受影响用户可通过完全禁用autoType来规避风险，另建议将JDK升级到最新版本。
由于autotype开关的限制可被绕过，请受影响用户升级到FastJSON 1.2.68及以上版本，通过开启safeMode配置完全禁用autoType。三种配置SafeMode的方式如下:
1）加上JVM启动参数： -Dfastjson.parser.safeMode=true
2）通过类路径的fastjson.properties文件来配置： fastjson.parser.safeMode=true
3）在代码中配置： ParserConfig.getGlobalInstance().setSafeMode(true);
