Weaknesses of type CWE-502

2,665 results

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados serializados (JSON, XML, binário) recebidos de fontes externas sem validar adequadamente se o conteúdo é legítimo. Um atacante pode injetar código malicioso ou objetos especialmente crafted que são executados durante a desserialização, comprometendo toda a aplicação.

Example

Um servidor Java desserializa objetos recebidos em requisições HTTP usando ObjectInputStream, sem verificar a classe ou origem dos dados. Um atacante envia um objeto serializado contendo uma cadeia de gadgets (RCE via biblioteca como Apache Commons Collections) que é executada assim que o objeto é reconstruído em memória.

How to mitigate

Valide e liste explicitamente as classes que podem ser desserializadas (whitelist). Para JSON/XML, use parsers que não executem código (como JSON simples, evite eval). Considere alternativas seguras como Protocol Buffers ou MessagePack, e mantenha bibliotecas críticas atualizadas.

CVE-2025-43851HIGHGHSL-2025-021_Retrieval-based-Voice-Conversion-WebUIEPSS 0.9%CVE-2025-43852HIGHGHSL-2025-022_Retrieval-based-Voice-Conversion-WebUIEPSS 0.9%CVE-2026-1360HIGHBuddyPress <= 14.5.0 - Authenticated (Subscriber+) PHP Object Injection via XProfile Field DataEPSS 0.9%CVE-2024-25117MEDIUMphp-svg-lib lacks path validation on font through SVG inline styles EPSS 0.9%CVE-2022-3525CRITICALDeserialization of Untrusted Data in librenms/librenmsEPSS 0.9%CVE-2025-55010CRITICALKanboard Authenticated Admin Remote Code Execution via Unsafe Deserialization of EventsEPSS 0.9%CVE-2024-9070CRITICALDeserialization Vulnerability in BentoML's Runner Server in bentoml/bentomlEPSS 0.9%CVE-2025-62164HIGHVLLM deserialization vulnerability leading to DoS and potential RCEEPSS 0.9%CVE-2026-21226HIGHAzure Core shared client library for Python Remote Code Execution VulnerabilityEPSS 0.9%CVE-2024-5671CRITICALInsecure Deserialization in some workflows of the IPS Manager allows unauthenticated remote attackers to perform arbitrary code execution anEPSS 0.9%CVE-2023-6730CRITICALDeserialization of Untrusted Data in huggingface/transformersEPSS 0.9%CVE-2026-45360HIGHApache Airflow: Arbitrary import in custom deadline-reference deserializationEPSS 0.9%CVE-2023-21568HIGHMicrosoft SQL Server Integration Service (VS extension) Remote Code Execution VulnerabilityEPSS 0.9%CVE-2026-43867CRITICALApache Camel: Camel-PQC: The AWS Secrets Manager key-lifecycle manager deserializes persisted key metadata with java.io.ObjectInputStream and no ObjectInputFilterEPSS 0.9%CVE-2026-3422CRITICALe-Excellence｜U-Office Force - Insecure DeserializationEPSS 0.9%CVE-2025-27780HIGHApplio allows unsafe deserialization in model_information.pyEPSS 0.9%CVE-2025-35050CRITICALNewforma Info Exchange (NIX) .NET unauthenticated deserializationEPSS 0.9%CVE-2025-27781HIGHApplio allows unsafe deserialization in inference.pyEPSS 0.9%CVE-2026-58076HIGHApache Airflow: Unguarded import_string() of airflow_exc_ser / base_exc_ser exception nodes in BaseSerialization.deserialize enables DAG-author RCE on Scheduler / API ServerEPSS 0.9%CVE-2025-27779HIGHApplio allows unsafe deserialization in model_blender.pyEPSS 0.9%