分类：Web安全

Java 原生反序列化（readObject）在处理未受信任的二进制输入流时，若类路径包含 Apache Commons Collections 等第三方依赖，攻击者可通过精心构造由 InvokerTransformer 与 ChainedTransformer 组成的 Gadget 触发任意系统命令执行。 一、JEP

由于 GraphQL 允许客户端自选响应格式与关系嵌套，攻击者可以构造无限循环引用递归查询（例如 author books author books...），引发数据库 N+1 级联查询导致 CPU 耗尽。 一、限制 AST 查询最大深度

在 AWS 等云基础设施上，SSRF（ServerSide Request Forgery） 最致命的危害是攻击者诱导服务端请求云实例元数据服务（169.254.169.254），从而偷取挂载在 EC2 上的 IAM Role 临时凭据。 一、强制启用 AWS IMDSv2 Token 验证