CVE-2018-1000210 in YamlDotNet
要約
〜によって VulDB • 2026年06月06日
YamlDotNet バージョン4.3.2およびそれ以前には、Insecure Direct Object Reference (IDOR) の脆弱性が存在します。Deserializer.Deserialize()のデフォルト動作では、「currentType = Type.GetType(nodeEvent.Tag.Substring(1), throwOnError: false);」という行でユーザーが制御可能な型を逆シリアライズし、盲目的にインスタンス化します。これにより、実行中のプロセスのコンテキスト内でコードの実行が可能になります。この攻撃は、被害者が特別に作成されたYAMLファイル.parseすることによって可能になると考えられます。この脆弱性は5.0.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.