Güvensiz Seri Durumdan Çıkarma (ARCH7109)

Anahtar php.security.insecure-deserialization · Önem critical · Kategori security · CWE CWE-502

Güvenilmeyen veriyi unserialize() ile çözmek, saldırganın __wakeup/__destruct gadget zincirleri kurarak nesne enjekte etmesine ve uzaktan kod çalıştırmasına olanak tanır.

Hatalı

<?php
$data = unserialize($_COOKIE['prefs']); // gadget zinciri → RCE

Doğru

<?php
$data = json_decode($_COOKIE['prefs'], true); // sadece veri, kod yok

Düzeltme

Güvenilmeyen veri için unserialize yerine JSON gibi yapısal, kod çalıştırmayan bir format kullanın; gerekiyorsa allowed_classes => false verin.