tag
反序列化
该标签下有 2 篇文章
2026-09-05
不安全的反序列化：让外部数据选择对象类型的风险，以及如何防范
反序列化的危险不在于收到了错误的值，而在于某些格式让外部数据决定要构造哪种类型的对象。所以损害不止于数据损坏——OWASP 列出了拒绝服务、绕过访问控制和远程代码执行。两种防御：改用纯数据格式，让任何东西都无法替你选择类型；对序列化的消息签名，绝不还原未签名的消息。而且有些机制无论怎样配置都无法变得安全；唯一的办法就是不用。
严重CVSS9.32026-06-08
CVE-2026-45247 — Magento 扩展的 PHP 对象注入导致免认证 RCE（解析与对策）
Magento 2 扩展 Mirasvit Full Page Cache Warmer 1.11.12 之前的版本中存在无需认证即可导致 RCE 的 PHP 对象注入（CWE-502）。CVSS 9.3。首选对策是「更新到 1.11.12 及以上」。根本之道是不要对不可信数据进行反序列化。