CVE-2026-21012 – Desserialização de Enum Não Confiável em Rust serde (Injeção de Variante)

Código do Programa (Rust)

// serde_vuln.rs - Deserializes an enum from user JSON without validation
use serde::{Deserialize, Serialize};
use serde_json;

#[derive(Deserialize, Debug)]
enum AdminAction {
    ReadLogs,
    DeleteUser(String),
    CreateUser(String),
}

#[derive(Deserialize, Debug)]
struct Command {
    action: AdminAction,
}

fn main() {
    let user_input = r#"{"action": {"DeleteUser": "admin"}}"#;
    let cmd: Command = serde_json::from_str(user_input).unwrap();
    println!("Executing: {:?}", cmd.action);
    // Could delete admin if permissions not checked!
}

CVE-2026-21012 – Desserialização de Enum Não Confiável em Rust serde

Visão Geral

Uma aplicação Rust que usa serde desserializa JSON não confiável em um enum sem validar se o chamador está autorizado para a variante. Um atacante pode injetar uma variante diferente do enum (por exemplo, DeleteUser) e desencadear ações não intencionais.

Detalhes da Vulnerabilidade

• Tipo: Desserialização Insegura / Confusão de Tipos
• Impacto: Execução de ações não autorizadas.
• Causa Raiz: A aplicação não verifica se a variante do enum desserializada corresponde ao conjunto limitado esperado para o perfil do usuário.

Demonstração do Exploit

Compile e execute o programa Rust:

cargo add serde serde_json
rustc serde_vuln.rs
./serde_vuln

Ele executa a variante DeleteUser sem autorização.