proto.lib

Insecure Deserialization

Deserialize dữ liệu không tin cậy cho phép attacker tạo object độc hại dẫn tới thực thi mã tùy ý trên server.

SecurityNâng cao2026-07-08
Insecure Deserialization

Tags

#deserialization#rce#owasp#gadget-chain#injection

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

XXE - XML External Entity Injection

Parser XML xử lý entity ngoài do attacker định nghĩa, cho phép đọc file hệ thống hoặc thực hiện SSRF qua tài liệu XML độc hại.

#xxe#xml#injection#owasp
SecurityNâng cao

Server-Side Template Injection (SSTI)

Khi một chuỗi do người dùng cung cấp bị nối trực tiếp vào SOURCE của template (chứ không phải truyền vào như DATA), template engine sẽ coi nó là biểu thức cần đánh giá — kẻ tấn công thoát khỏi ngữ cảnh dữ liệu để đạt được thực thi biểu thức, và thường từ đó leo lên thực thi mã tuỳ ý.

#ssti#template-injection#rce#input-validation
SecurityTrung bình

Prototype Pollution

Hàm merge/clone đệ quy xử lý sai key '__proto__' khiến giá trị bị ghi thẳng vào Object.prototype dùng chung, ảnh hưởng tới mọi object trong runtime.

#prototype-pollution#javascript#object-prototype#merge