десериализация
2 статей с этим тегом
Небезопасная десериализация: чем опасно, когда внешние данные выбирают тип объекта, и как это предотвратить
Опасность десериализации не в том, что приходят плохие значения, а в том, что некоторые форматы позволяют внешним данным решать, объект какого типа создать. Поэтому ущерб не ограничивается испорченными данными: OWASP называет отказ в обслуживании, обход контроля доступа и удалённое выполнение кода. Две защиты: перейти на чистый формат данных, где ничто не выбирает типы за вас, и подписывать сериализованные сообщения, чтобы неподписанные никогда не восстанавливались. А некоторые механизмы вообще нельзя сделать безопасными настройкой — единственное решение не использовать их.
CVE-2026-45247 — неаутентифицированный RCE в расширении Magento через PHP object injection
PHP object injection (CWE-502) в Mirasvit Full Page Cache Warmer для Magento 2 до 1.11.12 достигает неаутентифицированного RCE. CVSS 9.3. Основное исправление — обновление до 1.11.12+. Корневое правило: никогда не десериализуйте недоверенные данные.