1 artigo com esta tag
O perigo da desserialização não é que cheguem valores ruins; é que alguns formatos deixam os dados externos decidirem que tipo de objeto construir. Por isso o dano não para em dados corrompidos — a OWASP lista negação de serviço, contorno de controle de acesso e execução remota de código. Duas defesas: trocar para um formato só de dados, em que nada escolhe tipos por você, e assinar as mensagens serializadas para que as não assinadas nunca sejam restauradas. E alguns mecanismos não podem ser tornados seguros por configuração; a única correção é não usá-los.