Insecure deserialization (ARCH304)

Anahtar dotnet.security.insecure-deserialization · Önem error · Kategori security · CWE CWE-502

BinaryFormatter gibi tip-bilgisini koruyan deserializer’lar güvenilmeyen veriyle keyfi tip oluşturabilir ve kod yürütmeye yol açar. Güvenli, şema-sınırlı bir serializer kullanın.

Hatalı

var formatter = new BinaryFormatter();
var obj = formatter.Deserialize(untrustedStream);

Doğru

var obj = JsonSerializer.Deserialize<Order>(untrustedJson);

Düzeltme

BinaryFormatter/NetDataContractSerializer’ı kaldırın; bilinen tiplere System.Text.Json gibi güvenli bir serializer ile deserialize edin.