desserialização
2 artigos com esta tag
Desserialização insegura: o risco de deixar dados externos escolherem o tipo do objeto, e como evitar
O perigo da desserialização não é que cheguem valores ruins; é que alguns formatos deixam os dados externos decidirem que tipo de objeto construir. Por isso o dano não para em dados corrompidos — a OWASP lista negação de serviço, contorno de controle de acesso e execução remota de código. Duas defesas: trocar para um formato só de dados, em que nada escolhe tipos por você, e assinar as mensagens serializadas para que as não assinadas nunca sejam restauradas. E alguns mecanismos não podem ser tornados seguros por configuração; a única correção é não usá-los.
CVE-2026-45247 — RCE não autenticado em uma extensão do Magento via PHP object injection
PHP object injection (CWE-502) no Mirasvit Full Page Cache Warmer para Magento 2 antes da 1.11.12 alcança RCE não autenticado. CVSS 9.3. A correção principal é atualizar para a 1.11.12+. A regra de raiz: nunca desserialize dados não confiáveis.