tag
デシリアライズ
このタグの記事 3 件
重大CVSS9.52026-11-12
CVE-2026-126187 — React Server Components の認証不要リモートコード実行（react-server-dom-* の修正版 19.0.9・19.1.10・19.2.9・19.3.1）の解説と対応策
ReactのServer Components用パッケージ（react-server-dom-webpack・parcel・turbopack）にある、信頼できないデータのデシリアライズ（CWE-502）。GitHubの勧告は、細工したデータで認証不要のリモートコード実行に至り得ると説明し、CVSS v4は9.5（Critical）。ただし勧告は、影響するのは、複数の型付き配列と攻撃者の制御する値を同じ応答で運ぶ、極めてまれな場合に限られるとする。修正版は2026年10月14日に公開済みで、勧告の公開は11月10日。悪用の記載は確認できなかった。当サイトの結論：点数が高いので、RSCを使うアプリは依存のreact-server-dom-*の版を確かめ、修正版へ上げる。
2026-09-05
安全でないデシリアライズとは：外部データにオブジェクトの型を決めさせる危険と対策
デシリアライズの危険は『変なデータが入ること』ではなく、形式によっては『どの型のオブジェクトを組み立てるか』を外部データが決められることにある。だから被害はデータの破損では終わらず、OWASPはサービス停止・アクセス制御の迂回・リモートコード実行を挙げる。対策の軸は2つ。JSONやXMLのような純粋なデータ形式に切り替えて型を選ばせない、そしてシリアライズ時に署名し、署名の無いものは復元しない。一部の仕組みは設定では安全にできず、使うのをやめる以外にない。
重大CVSS9.32026-06-08
CVE-2026-45247 — Magento拡張のPHPオブジェクトインジェクションで認証なしRCE（解説と対応策）
Magento 2 拡張 Mirasvit Full Page Cache Warmer 1.11.12未満に、認証なしでRCEに至るPHPオブジェクトインジェクション（CWE-502）。CVSS 9.3。最も確実な対応は『1.11.12以降へ更新』。根本的な防御は信頼できないデータをデシリアライズしないこと。