Fallos del tipo CWE-502

2670 resultados

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados recebidos (JSON, XML, binário) sem validar se o resultado é seguro. Um atacante pode injetar código malicioso ou estruturas que exploram o processo de desserialização para executar ações arbitrárias no servidor ou cliente.

Ejemplo

Um serviço Java desserializa um objeto enviado pelo usuário usando ObjectInputStream sem filtros. O atacante envia um payload serializado que, ao ser reconstituído, executa comandos do sistema. Cenário comum: aplicações legadas que confiam em dados de rede ou arquivos sem inspeção.

Cómo mitigar

Valide e filtre dados antes de desserializar — use listas de classes permitidas (whitelisting), implemente validação de schema, e prefira formatos simples (JSON com parse restritivo) em vez de binários com lógica automática. Para linguagens críticas como Java, use bibliotecas seguras ou desabilite gadgets perigosos.

CVE-2026-96804HIGHCVE-2026-96804EPSS 0.4%CVE-2024-1801HIGHProgress Telerik Reporting Local Deserialization VulnerabilityEPSS 0.4%CVE-2024-35780HIGHWordPress Page Builder: Live Composer plugin <= 1.5.42 - Contributor+ PHP Object Injection vulnerabilityEPSS 0.4%CVE-2025-12844HIGHAI Engine <= 3.1.8 - Authenticated (Subscriber+) PHP Object Injection via PHAR DeserializationEPSS 0.4%CVE-2021-27240HIGHThis vulnerability allows local attackers to escalate privileges on affected installations of SolarWinds Patch Manager 2020.2.1. An attackerEPSS 0.4%CVE-2025-34449MEDIUMGenymobile/scrcpy <= 3.3.3 Global Buffer OverflowEPSS 0.4%CVE-2025-26873CRITICALWordPress Traveler theme <= 3.1.8 - PHP Object Injection vulnerabilityEPSS 0.4%CVE-2025-62035HIGHWordPress Togo theme < 1.0.4 - PHP Object Injection vulnerabilityEPSS 0.4%CVE-2025-11135MEDIUMpmTicket Project-Management-Software Cookie class.database.php loadLanguage deserializationEPSS 0.4%CVE-2026-2020HIGHJS Archive List <= 6.1.7 - Authenticated (Contributor+) PHP Object Injection via 'included' Shortcode AttributeEPSS 0.4%CVE-2026-76547MEDIUMProfile Builder < 4.0.1 - Admin+ PHP Object Injection via Import/ExportEPSS 0.4%CVE-2026-10538HIGHImproper deserialization handling in Control-M ComponentsEPSS 0.4%CVE-2026-59307HIGHDeserialization allow-list silently bypassed: setBeanClassLoader replaces deserializer but mapper keeps stale referenceEPSS 0.4%CVE-2024-3468HIGHDeserialization of Untrusted Data in AVEVA PI Web APIEPSS 0.4%CVE-2026-24162HIGHNVIDIA Transformers4Rec for Linux contains a vulnerability where an attacker could cause improper deserialization of untrusted data. A succeEPSS 0.4%CVE-2026-19116HIGHWP User Frontend < 4.3.11 - Subscriber+ PHP Object Injection via Frontend Post Edit FormEPSS 0.4%CVE-2026-82093HIGHDataStage on Cloud Pak for Data has several vulnerabilitiesEPSS 0.4%CVE-2025-52826HIGHWordPress Sala theme <= 1.1.3 - PHP Object Injection VulnerabilityEPSS 0.4%CVE-2025-52827HIGHWordPress Nuss theme <= 1.3.3 - PHP Object Injection VulnerabilityEPSS 0.4%CVE-2024-34072HIGHDeserialization of Untrusted Data in sagemaker-python-sdkEPSS 0.4%