CVE-2026-27206

Zumba Json Serializer, PHP dəyişənlərini JSON formatında seriyallaşdırmaq üçün nəzərdə tutulmuş kitabxanadır. 3.2.2 və daha aşağı versiyalarda kitabxana, xüsusi @type sahəsindən istifadə edərək JSON-dan PHP obyektlərinin deseriyallaşdırılmasına icazə verir. Deseriyallaşdırıcı, @type sahəsində göstərilmiş hər hansı bir klası heç bir məhdudiyyət olmadan instansiya edir. Etibarsız JSON girişinin emalı zamanı bu davranış hücumçuya tətbiqdə mövcud olan ixtiyari klasları instansiya etməyə imkan verə bilər. Əgər zəifliyi olan tətbiq hücumçu tərəfindən idarə olunan JSON-u JsonSerializer::unserialize() funksiyasına ötürürsə və təhlükəli sehrli metodlara (məsələn, __wakeup() və ya __destruct()) malik klaslar ehtiva edirsə, bu, tətbiqdə və ya onun asılılıqlarında mövcud olan gadget chain-lərdən asılı olaraq PHP Object Injection-a və potensial olaraq uzaqdan kodun icrasına (RCE) səbəb ola bilər. Bu davranış, risk profili baxımından PHP-nin yerli unserialize() funksiyasının allowed_classes məhdudiyyəti olmadan istifadəsinə bənzəyir. Tətbiqlər yalnız etibarsız və ya hücumçu tərəfindən idarə olunan JSON JsonSerializer::unserialize() funksiyasına ötürüldükdə və tətbiq və ya onun asılılıqları gadget chain kimi istifadə edilə bilən klaslar ehtiva etdikdə təsirə məruz qalır. Bu problem 3.2.3 versiyasında düzəldilmişdir. Təcili yeniləmə mümkün deyilsə, etibarsız JSON-u JsonSerializer::unserialize() ilə heç vaxt deseriyallaşdırmayaraq, deseriyallaşdırmadan əvvəl bütün JSON girişlərini yoxlayaraq və təmizləyərək, həmçinin mümkün olan hər yerdə @type əsaslı obyekt instansiyasını söndürərək zəifliyin qarşısını alın.