Chronicle Wire v2026.8 通过外部控制的 YAML 类型标签在 YAML 反序列化过程中实现任意类实例化
由 Ron E 于 8 月 26 日发布：Chronicle Wire 允许在序列化输入中提供的 YAML 类型标签影响非类型化反序列化过程中的 Java 类选择和对象实例化。当应用程序通过 readObject() 或 object(Object.class) 等 API 反序列化攻击者控制或其他不可信的 YAML 时，外部控制的 YAML 类型标签可指定一个由 Chronicle Wire 通过其配置的 ClassLookup 解析的 Java 类。当默认...
