java.insecure-resteasy-deserialization

Ist ein RESTful-Webservice-Endpunkt so konfiguriert, dass der @Consumes-Annotation der Wildcard-MediaType {*/*} zugewiesen ist, kann ein Angreifer den SerializableProvider missbrauchen, indem er eine HTTP-Anfrage mit dem Content-Type application/x-java-serialized-object sendet. Der Anfragekörper würde vom SerializationProvider verarbeitet und könnte eine bösartige Payload enthalten, die beim Aufruf von $Y.getObject zu beliebiger Code-Ausführung führen kann.

When a Restful webservice endpoint is configured to use wildcard mediaType {*/*} as a value for the @Consumes annotation, an attacker could abuse the SerializableProvider by sending a HTTP Request with a Content-Type of application/x-java-serialized-object. The body of that request would be processed by the SerializationProvider and could contain a malicious payload, which may lead to arbitrary code execution when calling the $Y.getObject method.

Lorsqu'un endpoint de service web RESTful est configuré avec le type de média générique {*/*} pour son annotation @Consumes, un attaquant peut abuser du SerializableProvider en envoyant une requête HTTP avec un Content-Type application/x-java-serialized-object. Le corps de la requête est traité par le SerializationProvider et peut contenir une charge malveillante susceptible de conduire à l'exécution de code arbitraire lors de l'appel à $Y.getObject.

RESTful サービスエンドポイントの @Consumes アノテーションにワイルドカードメディアタイプ {*/*} が設定されている場合、攻撃者は Content-Type が application/x-java-serialized-object のリクエストを送信して SerializableProvider を悪用できます：リクエストボディは SerializationProvider によって処理され、悪意のあるペイロードが含まれている恐れがあり、$Y.getObject の呼び出し時に任意のコード実行につながる恐れがあります。

RESTful 서비스 엔드포인트의 @Consumes 어노테이션이 와일드카드 미디어 타입 {*/*}로 설정되어 있으면, 공격자는 Content-Type이 application/x-java-serialized-object인 요청을 보내 SerializableProvider를 악용할 수 있습니다: 요청 본문은 SerializationProvider에 의해 처리되며 악성 페이로드를 포함할 수 있고, $Y.getObject를 호출할 때 임의 코드 실행이 발생할 수 있습니다.

Если конечная точка RESTful-сервиса настроена на универсальный mediaType {*/*} в аннотации @Consumes, атакующий может злоупотребить SerializableProvider, отправив HTTP-запрос с Content-Type application/x-java-serialized-object: тело запроса обработает SerializationProvider, и оно может содержать вредоносную нагрузку — вызов $Y.getObject может привести к выполнению произвольного кода.

当 RESTful 服务端点的 @Consumes 注解配置了通配媒体类型 {*/*} 时，攻击者可发送 Content-Type 为 application/x-java-serialized-object 的请求滥用 SerializableProvider：请求体由 SerializationProvider 处理，可能包含恶意载荷，调用 $Y.getObject 时可能导致任意代码执行。

當 RESTful 服務端點的 @Consumes 註解設定了通配媒體型別 {*/*} 時，攻擊者可傳送 Content-Type 為 application/x-java-serialized-object 的請求濫用 SerializableProvider：請求體由 SerializationProvider 處理，可能包含惡意酬載，呼叫 $Y.getObject 時可能導致任意程式碼執行。