待验证50% 置信事实精确时间
SnakeYAML 默认 load() 或 new Yaml() 支持 !! 类型标签，可触发任意 Java 类实例化，对应 CWE-502 不可信数据反序列化漏洞；防御方式是使用 SafeConstructor、Constructor 白名单或 LoaderOptions 限制可解析类型。
1
来源数
50%
置信度
长期有效
时效性
2026/10/14
首次发现
来源
涉及实体
相关事实
待验证在 LSCBench 的 Java 配置导入器案例中，智能体重写了缺失的核心文件，14 个隐藏功能测试全部通过，但 4 个安全测试全部失败，因为它使用了 SnakeYAML 的默认构造函数，会执行上传 YAML 中的每一个 !!class 标签。72% 相似待验证Python 的 safe_load 只能解析单文档 YAML，而 js-yaml 库的 YAML.parse 支持多文档解析及 YAML 锚点、别名和 CloudFormation 的 !Sub 等自定义标签69% 相似待验证在Ruby中应避免对不可信YAML使用YAML.load，而应使用YAML.safe_load69% 相似待验证YAML 相比 JSON 和 TOML 支持注释，已成为 Kubernetes、Docker Compose、GitHub Actions 等主流工具的配置标准64% 相似待验证as<T>() 在类型不匹配时会抛出 YAML::TypedBadConversion 异常，LoadFile 在文件不存在时会抛出 YAML::BadFile 异常63% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1032209API
curl https://kongchang.com/api/v1/knowledge/claims/1032209MCP
get_claim(id=1032209)