Weaknesses of type CWE-502

2,665 results

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados serializados (JSON, XML, binário) recebidos de fontes externas sem validar adequadamente se o conteúdo é legítimo. Um atacante pode injetar código malicioso ou objetos especialmente crafted que são executados durante a desserialização, comprometendo toda a aplicação.

Example

Um servidor Java desserializa objetos recebidos em requisições HTTP usando ObjectInputStream, sem verificar a classe ou origem dos dados. Um atacante envia um objeto serializado contendo uma cadeia de gadgets (RCE via biblioteca como Apache Commons Collections) que é executada assim que o objeto é reconstruído em memória.

How to mitigate

Valide e liste explicitamente as classes que podem ser desserializadas (whitelist). Para JSON/XML, use parsers que não executem código (como JSON simples, evite eval). Considere alternativas seguras como Protocol Buffers ou MessagePack, e mantenha bibliotecas críticas atualizadas.

CVE-2026-40473HIGHApache Camel Mina: Unsafe Deserialization in MinaConverter.toObjectInput() via TCP/UDPEPSS 1.1%CVE-2026-68771CRITICALComfyUI 0.23.0 Unauthenticated RCE via LoadTrainingDataset Pickle DeserializationEPSS 1.1%CVE-2026-66909CRITICALApache CXF: Unsafe deserialization of inbound JMS ObjectMessageEPSS 1.1%CVE-2023-50221HIGHInductive Automation Ignition ResponseParser SerializedResponse Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 1.1%CVE-2023-50222HIGHInductive Automation Ignition ResponseParser Notification Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 1.1%CVE-2026-2970LOWdatapizza-labs datapizza-ai cache.py RedisCache deserializationEPSS 1.1%CVE-2022-36038HIGHCircuitVerse potential RCE vulnerability via Oj.loadEPSS 1.1%CVE-2024-9701CRITICALRemote Code Execution in kedro-org/kedroEPSS 1.1%CVE-2024-26579CRITICALApache Inlong JDBC VulnerabilityEPSS 1.1%CVE-2024-0668MEDIUMAdvanced Database Cleaner <= 3.1.3 - Authenticated(Administrator+) PHP Object Injection via process_bulk_actionEPSS 1.1%CVE-2022-41779HIGH Delta Electronics InfraSuite Device Master versions 00.00.01a and prior deserialize network packets without proper verification. If the devEPSS 1.1%CVE-2026-47297HIGHMicrosoft SQL Server Remote Code Execution VulnerabilityEPSS 1.1%CVE-2023-2042MEDIUMDataGear JDBC Server deserializationEPSS 1.1%CVE-2022-45185HIGHAn issue was discovered in SuiteCRM 7.12.7. Authenticated users can use CRM functions to upload malicious files. Then, deserialization can bEPSS 1.1%CVE-2026-27172HIGHApache Camel: Unsafe Java deserialization in camel-consul ConsulRegistry allows arbitrary code execution via malicious values read from the Consul KV storeEPSS 1.1%CVE-2026-46495CRITICALOpenDJ Pre-Auth RCE via Java Deserialization in JMX RMIEPSS 1.1%CVE-2024-42363HIGHGHSL-2023-136_SamsonEPSS 1.1%CVE-2024-1856HIGHProgress Telerik Reporting Remote Deserialization VulnerabilityEPSS 1.1%CVE-2026-52751HIGHGhidra < 12.1 - Remote Code Execution via Unfiltered RMI Deserialization in Shared Project ConnectionEPSS 1.1%CVE-2023-3343HIGHUser Registration <= 3.0.1 - Authenticated (Subscriber+) PHP Object InjectionEPSS 1.1%