slug: cwe-502
解説
CWE-502は「シリアライズされたデータ (オブジェクトをバイト列に変換したもの) を信頼せずに復元 (デシリアライズ) してしまう」欠陥です。
Java・Python・PHP・.NETなどで、攻撃者が細工したオブジェクトを送ると任意コード実行されてしまうため、Webサーバー乗っ取りの典型ルートです。
📌 具体例
CVE-2017-9805 (Apache Struts2 REST Plugin): XMLデシリアライズによるRCEで、Equifax事件 (1.4億人個人情報流出) の直接原因となった。
🔗 関連リンク
🔖 関連タグ
CWE-79: クロスサイトスクリプティング (XSS)8678
CWE-89: SQLインジェクション4152
Cwe 8624031
Cwe 2844027
CWE-416: 解放後使用 (Use-After-Free)3896
CWE-119: メモリの境界外操作3182
Cwe 2003138
Cwe 1253115
CWE-20: 入力検証の不備2856
CWE-22: パストラバーサル2769
CWE-787: 境界外書き込み2517
CWE-78: OSコマンドインジェクション2021
CWE-94: コードインジェクション1870
Cwe 8631865
Cwe 1221799
