slug: cwe-502
解説
CWE-502は「シリアライズされたデータ (オブジェクトをバイト列に変換したもの) を信頼せずに復元 (デシリアライズ) してしまう」欠陥です。
Java・Python・PHP・.NETなどで、攻撃者が細工したオブジェクトを送ると任意コード実行されてしまうため、Webサーバー乗っ取りの典型ルートです。
📌 具体例
CVE-2017-9805 (Apache Struts2 REST Plugin): XMLデシリアライズによるRCEで、Equifax事件 (1.4億人個人情報流出) の直接原因となった。
🔗 関連リンク
🔖 関連タグ
CWE-79: クロスサイトスクリプティング (XSS)8692
CWE-89: SQLインジェクション4154
Cwe 8624040
Cwe 2844030
CWE-416: 解放後使用 (Use-After-Free)3898
CWE-119: メモリの境界外操作3185
Cwe 2003145
Cwe 1253116
CWE-20: 入力検証の不備2857
CWE-22: パストラバーサル2773
CWE-787: 境界外書き込み2520
CWE-78: OSコマンドインジェクション2028
CWE-94: コードインジェクション1871
Cwe 8631869
Cwe 1221801
