Подробности есть?

post запрос к api, если слать невалидные запросы выплевывает ошибки вида:
Could not read document: Unrecognized token 'a': was expecting (JSON String, Number, Array, Object or token 'null', 'true' or 'false')
at [Source: (PushbackInputStream); line: 1, column: 2]; nested exception is com.fasterxml.jackson.core.JsonParseException: Unrecognized token 'a': was expecting (JSON String, Number, Array, Object or token 'null', 'true' or 'false')
at [Source: (PushbackInputStream); line: 1, column: 2]

хмм... так не скажу

test'">&l

пришли в личку весь JSON каку выглядит

если слать массив, то ошибка:
Could not read document: Cannot deserialize instance of xxx out of START_ARRAY token
at [Source: (PushbackInputStream); line: 1, column: 1]; nested exception is com.fasterxml.jackson.databind.exc.MismatchedInputException: Cannot deserialize instance of xxx out of START_ARRAY token
at [Source: (PushbackInputStream); line: 1, column: 1]

Санитизация есть, отослал пейлоад ещё раз и выплюнуло в http entities.

Санитары в коде санитайзят :)

попробуй отправить [""]  и посмотри на ответ

ответ:
Could not read document: Cannot deserialize instance of xxx out of START_ARRAY token
at [Source: (PushbackInputStream); line: 1, column: 1]; nested exception is com.fasterxml.jackson.databind.exc.MismatchedInputException: Cannot deserialize instance of xxx out of START_ARRAY token
at [Source: (PushbackInputStream); line: 1, column: 1]

не, не уязвимо похоже

написал в личку, спасибо

о, кстати, пока умные люди в чате, спрошу и я:
Вот есть одна ручка, принимает на вход джейсон:

{"id":17022550,"status":"test"}

брутом парамсов нашел у нее такой парамс как "constructor”: (его значение неважно, правильное я не подобрал все равно)
Послав запрос:
{"constructor”:”test,”id":17022550,"status":"test"}

В ответ получим:

{"error":"Cannot read property 'call' of undefined"}

Пытаюсь понять, о чем это может говорить, и как можно использовать.
Что то на тему empty constructor нагуглил, но ничего толкового

а известно что на бекенде?

нод жс похоже

да там сайт комплексный, бэк не один, кажется микросервисы. Тут-вероятно да, нода

а это никак не может быть связано с prototype pollution?

Он получается, что обращается к свойству объекта, который не определён...

Без "constuctor" всё работает нормально же?

да, его я набрутил отдельно, пытаясь найти а вдруг есть скрытые парамсы