Güvensiz seri durumdan çıkarma (ARCH3109)

Anahtar typescript.security.insecure-deserialization · Önem critical · Kategori security · CWE CWE-502

Güvenilmeyen veriyi gadget yetenekli bir seri çözücüyle deserialize etmek klasik bir uzaktan kod yürütme vektörüdür. Güvenilmeyen girdiler için yalnızca güvenli, veri odaklı bir biçim (JSON) kullanın.

Hatalı

import { unserialize } from "node-serialize";

app.post("/restore", (req, res) => {
  const state = unserialize(req.body.payload);
  res.json(state);
});

Doğru

app.post("/restore", (req, res) => {
  const state = JSON.parse(req.body.payload);
  res.json(state);
});

Düzeltme

Güvenilmeyen veride fonksiyon/nesne canlandıran seri çözücüler kullanmayın; düz JSON.parse ile şema doğrulaması yapın.