CVE-2026-21012 – Rust serde Désérialisation d'une énumération non fiable (Injection de variante)

Code du programme (Rust)

// serde_vuln.rs - Deserializes an enum from user JSON without validation
use serde::{Deserialize, Serialize};
use serde_json;

#[derive(Deserialize, Debug)]
enum AdminAction {
    ReadLogs,
    DeleteUser(String),
    CreateUser(String),
}

#[derive(Deserialize, Debug)]
struct Command {
    action: AdminAction,
}

fn main() {
    let user_input = r#"{"action": {"DeleteUser": "admin"}}"#;
    let cmd: Command = serde_json::from_str(user_input).unwrap();
    println!("Executing: {:?}", cmd.action);
    // Could delete admin if permissions not checked!
}

CVE-2026-21012 – Rust serde Désérialisation d'une énumération non fiable

Vue d'ensemble

Une application Rust utilisant serde désérialise du JSON non fiable en une énumération sans vérifier que l'appelant est autorisé pour la variante. Un attaquant peut injecter une variante d'énumération différente (par exemple, DeleteUser) et déclencher des actions non intentionnelles.

Détails de la vulnérabilité

• Type : Désérialisation non sécurisée / Confusion de type
• Impact : Exécution d'actions non autorisées.
• Cause racine : L'application ne vérifie pas si la variante d'énumération désérialisée correspond à l'ensemble limité attendu pour le rôle de l'utilisateur.

Démonstration de l'exploit

Compilez et exécutez le programme Rust :

cargo add serde serde_json
rustc serde_vuln.rs
./serde_vuln

Il exécute la variante DeleteUser sans autorisation.