信頼できないユーザーの入力を wddx_deserialize() 関数に渡してはいけません。 アンシリアライズ処理が、オブジェクトのインスタンス化とオートローディングのために、 コードをロードして実行してしまいかねませんし、悪意のあるユーザーがこれを悪用できてしまいます。 シリアライズされた値をユーザーに渡す必要があるなら、 (json_decode() や json_encode() 経由で) JSON のような安全で、標準になっているデータ交換フォーマットを使ってください。