Güvensiz seri durumdan çıkarma (ARCH8109)

Anahtar kotlin.security.insecure-deserialization · Önem critical · Kategori security · CWE CWE-502

Güvenilmeyen veri üzerinde kullanılan ObjectInputStream.readObject ve diğer gadget’a açık seri durumdan çıkarıcıları işaretler.

Hatalı

val obj = ObjectInputStream(input).readObject()

Doğru

val obj = json.decodeFromString<Payload>(input)

Düzeltme

Yalnız veri taşıyan bir biçim (açık şemalı JSON) ya da izin listeli ObjectInputFilter kullanın.