CVE-2026-21012 – Rust serde 不可信枚举的反序列化（变体注入）

程序代码（Rust）

// serde_vuln.rs - Deserializes an enum from user JSON without validation
use serde::{Deserialize, Serialize};
use serde_json;

#[derive(Deserialize, Debug)]
enum AdminAction {
    ReadLogs,
    DeleteUser(String),
    CreateUser(String),
}

#[derive(Deserialize, Debug)]
struct Command {
    action: AdminAction,
}

fn main() {
    let user_input = r#"{"action": {"DeleteUser": "admin"}}"#;
    let cmd: Command = serde_json::from_str(user_input).unwrap();
    println!("Executing: {:?}", cmd.action);
    // Could delete admin if permissions not checked!
}

CVE-2026-21012 – Rust serde 不可信枚举的反序列化

概述

使用 serde 的 Rust 应用程序在将不可信 JSON 反序列化为枚举时，未验证调用方是否有权使用该变体。攻击者可以注入不同的枚举变体（例如 DeleteUser）并触发非预期的操作。

漏洞详情

类型： 不安全反序列化 / 类型混淆
影响： 执行未授权操作。
根本原因： 应用程序未检查反序列化后的枚举变体是否与用户角色所允许的有限集合匹配。

漏洞利用演示

编译并运行 Rust 程序：

cargo add serde serde_json
rustc serde_vuln.rs
./serde_vuln

该程序会在未授权的情况下执行 DeleteUser 变体。

CVE-2026-21012-Rust-serde-Deserialization-of-Untrusted-Enum-Variant-Injection-

最受欢迎