Fallos del tipo CWE-502

2674 resultados

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados recebidos (JSON, XML, binário) sem validar se o resultado é seguro. Um atacante pode injetar código malicioso ou estruturas que exploram o processo de desserialização para executar ações arbitrárias no servidor ou cliente.

Ejemplo

Um serviço Java desserializa um objeto enviado pelo usuário usando ObjectInputStream sem filtros. O atacante envia um payload serializado que, ao ser reconstituído, executa comandos do sistema. Cenário comum: aplicações legadas que confiam em dados de rede ou arquivos sem inspeção.

Cómo mitigar

Valide e filtre dados antes de desserializar — use listas de classes permitidas (whitelisting), implemente validação de schema, e prefira formatos simples (JSON com parse restritivo) em vez de binários com lógica automática. Para linguagens críticas como Java, use bibliotecas seguras ou desabilite gadgets perigosos.

CVE-2023-1145HIGH Delta Electronics InfraSuite Device Master versions prior to 1.0.5 are affected by a deserialization vulnerability targeting the DeviEPSS 0.3%CVE-2025-10950MEDIUMgeyang ml-logger Ping server.py log_handler deserializationEPSS 0.3%CVE-2025-60236CRITICALWordPress Creatify theme <= 1.5 - PHP Object Injection vulnerabilityEPSS 0.3%CVE-2025-60231CRITICALWordPress The Hospital theme <= 1.8.1 - PHP Object Injection vulnerabilityEPSS 0.3%CVE-2025-10433MEDIUM1Panel-dev MaxKB debug deserializationEPSS 0.3%CVE-2026-49817HIGHDell Command Update (DCU), versions prior to 5.7.1, contain a Deserialization of Untrusted Data vulnerability. A low privileged attacker witEPSS 0.3%CVE-2025-10965MEDIUMLazyAGI LazyLLM server.py lazyllm_call deserializationEPSS 0.3%CVE-2025-10974MEDIUMgiantspatula SewKinect Endpoint calculate pickle.loads deserializationEPSS 0.3%CVE-2026-49816HIGHDell Command Update (DCU), versions prior to 5.7.1, contain a Deserialization of Untrusted Data vulnerability. A low privileged attacker witEPSS 0.3%CVE-2025-10975MEDIUMGuanxingLu vlarl ZeroMQ reasoning_server.py run_reasoning_server deserializationEPSS 0.3%CVE-2026-80513HIGHwpForo Forum < 3.1.6 - Subscriber+ PHP Object Injection via Profile FieldsEPSS 0.3%CVE-2026-47856MEDIUMJsonToObjectTransformer resolves the json__TypeId__ message header to an arbitrary class without an allow-listEPSS 0.3%CVE-2026-22612HIGHFickling vulnerable to detection bypass due to "builtins" blindnessEPSS 0.3%CVE-2025-64512HIGHpdfminer.six vulnerable to Arbitrary Code Execution via Crafted PDF InputEPSS 0.3%CVE-2026-11729HIGHIBM MQ Java messaging is vulnerable to remote code executionEPSS 0.3%CVE-2026-24165HIGHNVIDIA BioNeMo contains a vulnerability where a user could cause a deserialization of untrusted data. A successful exploit of this vulnerabiEPSS 0.3%CVE-2024-33641MEDIUMWordPress Custom field finder plugin <= 0.3 - PHP Object Injection vulnerabilityEPSS 0.3%CVE-2025-60455HIGHUnsafe Deserialization vulnerability in Modular Max Serve before 25.6, specifically when the "--experimental-enable-kvcache-agent" feature iEPSS 0.3%CVE-2024-37502MEDIUMWordPress Social Login plugin <= 2.6.3 - PHP Object Injection vulnerabilityEPSS 0.3%CVE-2025-15610CRITICALThe .NET Remoting framework used by OpenText Fax (RightFax) includes known security vulnerabilities that could be exploited if the service iEPSS 0.3%