1 artículo con esta etiqueta
El peligro de la deserialización no es que lleguen valores malos, sino que algunos formatos dejan que los datos externos decidan qué tipo de objeto se construye. Por eso el daño no se queda en datos corruptos: OWASP enumera denegación de servicio, elusión del control de acceso y ejecución remota de código. Dos defensas: pasar a un formato de datos puro para que nada elija tipos por ti, y firmar los mensajes serializados para no restaurar nunca los que no estén firmados. Y algunos mecanismos no se pueden hacer seguros con configuración; la única solución es no usarlos.