Object Injection

還原序列化不可信賴的資料會允許插入任意 Ruby 物件，進而使程式代替攻擊者執行惡意指令。

當不可信賴的資料未先正確序列化，就傳遞至會還原序列化資料的函數 (如 YAML.load()) 時，便會發生物件插入弱點。攻擊者可能將精心製作的序列化字串傳遞至易受攻擊的 YAML.load() 呼叫，進而導致只要類別在還原序列化時載入應用程式，就會將任意 Ruby 物件插入到程式內。這可能會導致一整堆的各種攻擊機會，例如，避開驗證邏輯以尋找 Cross-site scripting 弱點，透過看起來是硬式編碼值的內容允許 SQL 插入，或是甚至執行整個程式碼。

範例 1：以下程式碼顯示一個 Ruby 類別，這會使用其屬性建立 SQL 查詢，並接著針對資料庫進行查詢。此外，還有一個使用使用者提供的資料對 YAML.load() 不安全的呼叫。

...
class Transaction
  attr_accessor :id
  def initialize(num=nil)
    @id = num.is_a?(Numeric) ? num : nil
  end

  def print_details
    unless @id.nil?
      print $conn.query("SELECT * FROM transactions WHERE id=#{@id}")
    end
  end
end

...
user = YAML.load(params[:user]);
user.print_details
...

在Example 1 中，應用程式可能會執行經過序列化的 User 物件，這正好使用稱為 print_details 的函數，但攻擊者實際上可以提供序列化版本的 Transaction 物件，並預先定義其 @id 屬性的值。如下所示的要求因此可能允許避開驗證檢查，其嘗試確保 @id 為數值

GET REQUEST:  http://server/page?user=!ruby%2Fobject%3ATransaction%0Aid%3A4%20or%205%3D5%0A

如果我們看到此項目的解碼版本，我們將看到 !ruby/object:Transaction\nid:4 or 5=5\n 會指派給 user 參數。
現在，還原序列化使用者參數時，將會建立類型為 Transaction 的物件，並將 @id 設定為 "4 or 5=5"。當開發人員認為他們將呼叫 User#print_details() 時，他們將立即呼叫 Transaction#print_details()，而 Ruby 的字串內插補點則意味著 SQL 查詢將變更為執行查詢：SELECT * FROM transactions WHERE id=4 or 5=5。由於新增的額外子句，查詢會估算為 true 並且會傳回 transactions 表格中的所有內容，而不是開發人員預期的單一列。

當使用一種稱為「屬性導向程式設計」的技術呼叫易受攻擊的 YAML.load() 時，攻擊者將可能鏈結所宣告的不同類別，此技術是在 BlackHat 2010 年大會時由 Stefan Esser 所提出。此技術允許攻擊者重複使用現有程式碼來製作自己的裝載。