Weaknesses of type CWE-470

93 results

Reflexão insegura com entrada externa

Ocorre quando a aplicação usa dados controlados pelo usuário para carregar, instanciar ou invocar classes e métodos via reflexão, sem validação prévia. Um atacante pode então executar código arbitrário ou acessar funcionalidades não intencionadas, porque o desenvolvedor delegou ao usuário a decisão de qual código será rodado.

Example

Um sistema Java recebe um parâmetro 'className' via URL e faz Class.forName(className).newInstance(). Se o usuário enviar o nome de uma classe perigosa do sistema ou uma classe maliciosa em classpath, ela será instanciada e executará lógica não autorizada.

How to mitigate

Mantenha uma whitelist rigorosa de classes permitidas, valide e normalize toda entrada antes de usar em reflexão, e considere usar enums ou constantes em vez de nomes de classe oriundos de entrada externa. Limite as permissões do aplicativo conforme o princípio do menor privilégio.

CVE-2026-8400HIGHMultiple Vulnerabilities in IBM® Java SDK affect IBM WebSphere Application Server and WebSphere Application Server Liberty due to the July 2026 CPUEPSS 0.3%CVE-2026-23923MEDIUMUnauthenticated arbitrary PHP class instantiationEPSS 0.3%CVE-2026-68508HIGHHydra: hydra.utils.instantiate with untrusted config can lead to code executionEPSS 0.3%CVE-2024-8048HIGHTelerik Reporting Insecure Expression EvaluationEPSS 0.2%CVE-2026-48817MEDIUMStarlette: Arbitrary HTTP method dispatched to `HTTPEndpoint` attributes via `getattr`EPSS 0.2%CVE-2026-55153HIGHmchange-commons-java contains elements susceptible to abuse via JNDI injection and "deserialization gadgets"EPSS 0.2%CVE-2024-1574MEDIUMUse of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in the licensing feature of Mitsubishi ElecEPSS 0.2%CVE-2018-25239MEDIUMSmart VPN 1.1.3.0 Denial of Service via SearchEPSS 0.2%CVE-2026-19135MEDIUMOpenNMS JEXL sandbox bypass in Measurements REST API allows ROLE_USER to load arbitrary classesEPSS 0.2%CVE-2023-35680—In multiple locations, there is a possible way to import contacts belonging to other users due to a confused deputy. This could lead to locaEPSS 0.1%CVE-2023-0460MEDIUMRemote code execution in YouTube Android Player API SDKEPSS 0.1%CVE-2026-18123HIGHIBM Financial Transaction Manager (FTM) is Impacted by Multiple VulnerabilitiesEPSS —CVE-2026-70410HIGHApache Calcite Avatica: Unrestricted class initialization when instantiating pluginsEPSS —