tag
反序列化
該標籤下有 2 篇文章
2026-09-05
不安全的反序列化：讓外部資料決定物件型別的風險，以及如何防範
反序列化的危險不在於收到錯誤的值，而在於某些格式讓外部資料決定要建立哪種型別的物件。所以損害不只是資料損壞，OWASP 列出了阻斷服務、存取控制繞過和遠端程式碼執行。防禦有兩種：改用純資料格式，讓任何東西都無法替你選擇型別；以及為序列化的訊息加上簽章，絕不還原沒有簽章的訊息。而且有些機制無論怎麼設定都無法變得安全，唯一的修正方法就是不使用它。
危急CVSS9.32026-06-08
CVE-2026-45247 — Magento 擴充套件的 PHP 物件注入導致免認證 RCE（解析與對策）
Magento 2 擴充套件 Mirasvit Full Page Cache Warmer 1.11.12 之前的版本中存在無需認證即可導致 RCE 的 PHP 物件注入（CWE-502）。CVSS 9.3。首選對策是「更新到 1.11.12 及以上」。根本之道是不要對不可信資料進行反序列化。