CVE-2026-27206 in json-serializer
Riassunto
di VulDB • 06/07/2026
Zumba Json Serializer è una libreria per la serializzazione di variabili PHP in formato JSON. Nelle versioni 3.2.2 e precedenti, la libreria consente la deserializzazione di oggetti PHP da dati JSON utilizzando un campo speciale @type. Il deserialize istanzia qualsiasi classe specificata nel campo @type senza restrizioni. Quando vengono elaborati input JSON non attendibili, questo comportamento può consentire a un attaccante di istanziare classi arbitrarie disponibili nell'applicazione. Se un'applicazione vulnerabile passa dati JSON controllati dall'attaccante alla funzione JsonSerializer::unserialize() e contiene classi con metodi magic pericolosi (come __wakeup() o __destruct()), ciò potrebbe portare a PHP Object Injection e potenzialmente all'Esecuzione di Codice Remoto (RCE), a seconda delle catene di gadget disponibili nell'applicazione o nelle sue dipendenze. Questo comportamento presenta un profilo di rischio simile a quello della funzione nativa unserialize() di PHP quando viene utilizzata senza la restrizione allowed_classes. Le applicazioni sono colpite solo se vengono passati dati JSON non attendibili o controllati dall'attaccante alla funzione JsonSerializer::unserialize() e l'applicazione o le sue dipendenze contengono classi che possono essere sfruttate come catena di gadget. Questo problema è stato risolto nella versione 3.2.3. Se un aggiornamento immediato non è fattibile, mitigare la vulnerabilità evitando sempre la deserializzazione di JSON non attendibili con JsonSerializer::unserialize(), validando e sanificando tutti gli input JSON prima della deserializzazione e disabilitando l'istanziazione di oggetti basata su @type ove possibile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.