Weaknesses of type CWE-502

2,665 results

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados serializados (JSON, XML, binário) recebidos de fontes externas sem validar adequadamente se o conteúdo é legítimo. Um atacante pode injetar código malicioso ou objetos especialmente crafted que são executados durante a desserialização, comprometendo toda a aplicação.

Example

Um servidor Java desserializa objetos recebidos em requisições HTTP usando ObjectInputStream, sem verificar a classe ou origem dos dados. Um atacante envia um objeto serializado contendo uma cadeia de gadgets (RCE via biblioteca como Apache Commons Collections) que é executada assim que o objeto é reconstruído em memória.

How to mitigate

Valide e liste explicitamente as classes que podem ser desserializadas (whitelist). Para JSON/XML, use parsers que não executem código (como JSON simples, evite eval). Considere alternativas seguras como Protocol Buffers ou MessagePack, e mantenha bibliotecas críticas atualizadas.

CVE-2021-21866HIGHA unsafe deserialization vulnerability exists in the ObjectManager.plugin ProfileInformation.ProfileData functionality of CODESYS GmbH CODESEPSS 1.7%CVE-2022-37023—Apache Geode deserialization of untrusted data flaw when using REST API on Java 8 or Java 11EPSS 1.7%CVE-2024-49063HIGHMicrosoft/Muzic Remote Code Execution VulnerabilityEPSS 1.7%CVE-2023-46279—Apache Dubbo: Bypass deny serialize list check in Apache DubboEPSS 1.7%CVE-2023-6654MEDIUMPHPEMS Session Data session.cls.php deserializationEPSS 1.7%CVE-2020-5411—Jackson Configuration Allows Code Execution with Unknown "Serialization Gadgets"EPSS 1.7%CVE-2021-36336CRITICALWyse Management Suite 3.3.1 and below versions contain a deserialization vulnerability that could allow an unauthenticated attacker to execuEPSS 1.7%CVE-2021-33420CRITICALA deserialization issue discovered in inikulin replicator before 1.0.4 allows remote attackers to run arbitrary code via the fromSerializablEPSS 1.7%CVE-2026-33264CRITICALApache Airflow: DAG author RCE on webserver via unrestricted import_string() in BaseSerialization.deserialize()EPSS 1.6%CVE-2021-21867HIGHAn unsafe deserialization vulnerability exists in the ObjectManager.plugin ObjectStream.ProfileByteArray functionality of CODESYS GmbH CODESEPSS 1.6%CVE-2022-36006HIGHAuthenticated remote code execution due to insecure deserialization (GHSL-2022-063)EPSS 1.6%CVE-2022-41137HIGHApache Hive: Deserialization of untrusted data when fetching partitions from the MetastoreEPSS 1.6%CVE-2026-25166HIGHWindows System Image Manager Assessment and Deployment Kit (ADK) Remote Code Execution VulnerabilityEPSS 1.6%CVE-2022-45136CRITICALApache Jena SDB allows arbitrary deserialisation via JDBCEPSS 1.6%CVE-2026-26220CRITICALLightLLM <= 1.1.0 PD Mode Unsafe Deserialization RCEEPSS 1.6%CVE-2022-39256CRITICALOrckestra C1 CMS's deserialization of untrusted data allows for arbitrary code execution.EPSS 1.6%CVE-2022-31115HIGHUnsafe YAML deserialization in opensearch-rubyEPSS 1.6%CVE-2020-36727CRITICALNewsletter Manager <= 1.5.1 - Insecure DeserializationEPSS 1.6%CVE-2022-35223CRITICALEasyUse MailHunter Ultimate - Deserialization of Untrusted DataEPSS 1.6%CVE-2021-1415MEDIUMCisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Authenticated Remote Code Execution VulnerabilitiesEPSS 1.6%