deserialización
2 artículos con esta etiqueta
Deserialización insegura: el riesgo de dejar que los datos externos elijan el tipo de objeto y cómo evitarlo
El peligro de la deserialización no es que lleguen valores malos, sino que algunos formatos dejan que los datos externos decidan qué tipo de objeto se construye. Por eso el daño no se queda en datos corruptos: OWASP enumera denegación de servicio, elusión del control de acceso y ejecución remota de código. Dos defensas: pasar a un formato de datos puro para que nada elija tipos por ti, y firmar los mensajes serializados para no restaurar nunca los que no estén firmados. Y algunos mecanismos no se pueden hacer seguros con configuración; la única solución es no usarlos.
CVE-2026-45247 — RCE sin autenticación en una extensión de Magento vía inyección de objetos PHP
Inyección de objetos PHP (CWE-502) en Mirasvit Full Page Cache Warmer para Magento 2 antes de 1.11.12 alcanza un RCE sin autenticación. CVSS 9.3. La solución principal es actualizar a 1.11.12+. La regla raíz: nunca deserialices datos no confiables.