1 статья с этим тегом
Опасность десериализации не в том, что приходят плохие значения, а в том, что некоторые форматы позволяют внешним данным решать, объект какого типа создать. Поэтому ущерб не ограничивается испорченными данными: OWASP называет отказ в обслуживании, обход контроля доступа и удалённое выполнение кода. Две защиты: перейти на чистый формат данных, где ничто не выбирает типы за вас, и подписывать сериализованные сообщения, чтобы неподписанные никогда не восстанавливались. А некоторые механизмы вообще нельзя сделать безопасными настройкой — единственное решение не использовать их.