Опубликовано Роном Е 26 августа. Chronicle Wire позволяет тегам типов YAML, поставляемым в сериализованном вводе, влиять на выбор класса Java и создание объектов во время нетипизированной десериализации.Когда приложения десериализуют контролируемый злоумышленником или иной недоверенный YAML через API, такие как readObject() или object(Object.class), внешний тег типа YAML может идентифицировать класс Java, который Chronicle Wire разрешает через свою настроенную ClassLookup.Когда по умолчанию...