Fallos del tipo CWE-502

2672 resultados

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados recebidos (JSON, XML, binário) sem validar se o resultado é seguro. Um atacante pode injetar código malicioso ou estruturas que exploram o processo de desserialização para executar ações arbitrárias no servidor ou cliente.

Ejemplo

Um serviço Java desserializa um objeto enviado pelo usuário usando ObjectInputStream sem filtros. O atacante envia um payload serializado que, ao ser reconstituído, executa comandos do sistema. Cenário comum: aplicações legadas que confiam em dados de rede ou arquivos sem inspeção.

Cómo mitigar

Valide e filtre dados antes de desserializar — use listas de classes permitidas (whitelisting), implemente validação de schema, e prefira formatos simples (JSON com parse restritivo) em vez de binários com lógica automática. Para linguagens críticas como Java, use bibliotecas seguras ou desabilite gadgets perigosos.

CVE-2024-13297MEDIUMEloqua - Moderately critical - Arbitrary PHP code execution - SA-CONTRIB-2024-063EPSS 0.4%CVE-2026-90490MEDIUMlenve vhr MailReceiver deserializationEPSS 0.4%CVE-2026-7712MEDIUMMindsDB Pickle pickle.loads deserializationEPSS 0.4%CVE-2026-9497MEDIUMchangmingxie tcc-transaction Fastjson AutoType REST API Fastjson.parseObject deserializationEPSS 0.4%CVE-2025-1741MEDIUMb1gMail Admin Page users.php deserializationEPSS 0.4%CVE-2026-3967MEDIUMAlfresco Activiti Process Variable Serialization System SerializableType.java createObjectInputStream deserializationEPSS 0.4%CVE-2025-69036HIGHWordPress Tech Life CPT plugin <= 16.4 - PHP Object Injection vulnerabilityEPSS 0.4%CVE-2026-12787MEDIUMzhilink 智互联(深圳)科技有限公司 ADP Application Developer Platform 应用开发者平台 testConnection Endpoint deserializationEPSS 0.4%CVE-2025-69002HIGHWordPress OneLife theme <= 3.9 - PHP Object Injection vulnerabilityEPSS 0.4%CVE-2025-69035HIGHWordPress Dental Care CPT plugin <= 20.2 - PHP Object Injection vulnerabilityEPSS 0.4%CVE-2025-49417CRITICALWordPress WooCommerce Product Multi-Action plugin <= 1.3 - Deserialization of untrusted data VulnerabilityEPSS 0.4%CVE-2026-8735MEDIUMOinone Pamirs appConfigQuery PamirsParserConfig.java JsonUtils.parseMap deserializationEPSS 0.4%CVE-2025-52761CRITICALWordPress WP Funnel Manager Plugin <= 1.4.0 - PHP Object Injection VulnerabilityEPSS 0.4%CVE-2024-13296MEDIUMMailjet - Moderately critical - Arbitrary PHP code execution - SA-CONTRIB-2024-062EPSS 0.4%CVE-2024-13295MEDIUMNode export - Moderately critical - Arbitrary PHP code execution - SA-CONTRIB-2024-061EPSS 0.4%CVE-2025-3590MEDIUMAdianti Framework deserializationEPSS 0.4%CVE-2025-7216MEDIUMlty628 Aidigu PHP Object common.php checkUserCookie deserializationEPSS 0.4%CVE-2026-61773HIGHNVIDIA Megatron Bridge contains a vulnerability where an attacker could cause a deserialization of untrusted data. A successful exploit of tEPSS 0.4%CVE-2026-61755HIGHNVIDIA Megatron Bridge contains a vulnerability where an attacker could cause a deserialization of untrusted data. A successful exploit of tEPSS 0.4%CVE-2026-61764HIGHNVIDIA Megatron Bridge contains a vulnerability where an attacker could cause a deserialization of untrusted data. A successful exploit of tEPSS 0.4%