Weaknesses of type CWE-502

2,669 results

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados serializados (JSON, XML, binário) recebidos de fontes externas sem validar adequadamente se o conteúdo é legítimo. Um atacante pode injetar código malicioso ou objetos especialmente crafted que são executados durante a desserialização, comprometendo toda a aplicação.

Example

Um servidor Java desserializa objetos recebidos em requisições HTTP usando ObjectInputStream, sem verificar a classe ou origem dos dados. Um atacante envia um objeto serializado contendo uma cadeia de gadgets (RCE via biblioteca como Apache Commons Collections) que é executada assim que o objeto é reconstruído em memória.

How to mitigate

Valide e liste explicitamente as classes que podem ser desserializadas (whitelist). Para JSON/XML, use parsers que não executem código (como JSON simples, evite eval). Considere alternativas seguras como Protocol Buffers ou MessagePack, e mantenha bibliotecas críticas atualizadas.

CVE-2025-3165MEDIUMthu-pacman chitu backend.py torch.load deserializationEPSS 0.2%CVE-2025-3677MEDIUMlm-sys fastchat apply_delta.py apply_delta_low_cpu_mem deserializationEPSS 0.2%CVE-2025-33252HIGHNVIDIA NeMo Framework contains a vulnerability where an attacker could cause remote code execution. A successful exploit of this vulnerabiliEPSS 0.2%CVE-2025-9906HIGHArbitrary Code execution in Keras Safe ModeEPSS 0.2%CVE-2025-5148MEDIUMFunAudioLLM InspireMusic Pickle Data model.py load_state_dict deserializationEPSS 0.2%CVE-2026-1542MEDIUMSuper Stage WP <= 1.0.1 - Unauthenticated PHP Object InjectionEPSS 0.2%CVE-2025-4740MEDIUMBeamCtrl Airiana coef deserializationEPSS 0.2%CVE-2025-4742MEDIUMXU-YIJIE grpo-flat grpo_vanilla.py main deserializationEPSS 0.2%CVE-2025-4701MEDIUMVITA-MLLM Freeze-Omni utils.py torch.load deserializationEPSS 0.2%CVE-2024-0140MEDIUMNVIDIA RAPIDS contains a vulnerability in cuDF and cuML, where a user could cause a deserialization of untrusted data issue. A successful exEPSS 0.2%CVE-2026-86841MEDIUMBookly 23.2 - 28.2 - Bookly Administrator+ PHP Object Injection via Diagnostics Advanced OptionsEPSS 0.2%CVE-2025-9365HIGHFuji Electric FRENIC-Loader 4 Deserialization of Untrusted DataEPSS 0.2%CVE-2025-33253HIGHNVIDIA NeMo Framework contains a vulnerability where an attacker could cause remote code execution by convincing a user to load a maliciouslEPSS 0.2%CVE-2026-95928MEDIUMrecommenders-team recommenders Dict Loading mind_iterator.py pickle.load deserializationEPSS 0.2%CVE-2025-20275MEDIUMCisco Unified Contact Center Express Editor Remote Code Execution VulnerabilityEPSS 0.2%CVE-2023-20944HIGHIn run of ChooseTypeAndAccountActivity.java, there is a possible escalation of privilege due to unsafe deserialization. This could lead to lEPSS 0.2%CVE-2026-95897MEDIUMDask Loader core.py from_npy_stack deserializationEPSS 0.2%CVE-2025-33212HIGHNVIDIA NeMo Framework contains a vulnerability in model loading that could allow an attacker to exploit improper control mechanisms if a useEPSS 0.2%CVE-2026-100843HIGHMONAI before 1.6.0 Remote Code Execution via algo_from_pickleEPSS 0.2%CVE-2024-3467HIGHDeserialization of Untrusted Data in AVEVA PI Asset Framework ClientEPSS 0.2%