概念不可信数据反序列化
CWE-502
CWE 分类中的一种软件弱点，指程序对不可信来源的数据进行反序列化，可能导致远程代码执行等安全问题。
时间轴 (近 90 天)
10月14日
SnakeYAML 默认 load() 或 new Yaml() 支持 !! 类型标签，可触发任意 Java 类实例化，对应 CWE-502 不可信数据反序列化漏洞；防御方式是使用 SafeConstructor、Constructor 白名单或 LoaderOptions 限制可解析类型。
待验证50%
CWE 分类中的一种软件弱点，指程序对不可信来源的数据进行反序列化，可能导致远程代码执行等安全问题。
SnakeYAML 默认 load() 或 new Yaml() 支持 !! 类型标签，可触发任意 Java 类实例化，对应 CWE-502 不可信数据反序列化漏洞；防御方式是使用 SafeConstructor、Constructor 白名单或 LoaderOptions 限制可解析类型。