Fallos del tipo CWE-502

2693 resultados

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados recebidos (JSON, XML, binário) sem validar se o resultado é seguro. Um atacante pode injetar código malicioso ou estruturas que exploram o processo de desserialização para executar ações arbitrárias no servidor ou cliente.

Ejemplo

Um serviço Java desserializa um objeto enviado pelo usuário usando ObjectInputStream sem filtros. O atacante envia um payload serializado que, ao ser reconstituído, executa comandos do sistema. Cenário comum: aplicações legadas que confiam em dados de rede ou arquivos sem inspeção.

Cómo mitigar

Valide e filtre dados antes de desserializar — use listas de classes permitidas (whitelisting), implemente validação de schema, e prefira formatos simples (JSON com parse restritivo) em vez de binários com lógica automática. Para linguagens críticas como Java, use bibliotecas seguras ou desabilite gadgets perigosos.

CVE-2026-24152HIGHNVIDIA Megatron-LM contains a vulnerability in checkpoint loading where an Attacker may cause an RCE by convincing a user to load a maliciouEPSS 0.2%CVE-2026-24151HIGHNVIDIA Megatron-LM contains a vulnerability in inferencing where an Attacker may cause an RCE by convincing a user to load a maliciously craEPSS 0.2%CVE-2025-3165MEDIUMthu-pacman chitu backend.py torch.load deserializationEPSS 0.2%CVE-2025-3677MEDIUMlm-sys fastchat apply_delta.py apply_delta_low_cpu_mem deserializationEPSS 0.2%CVE-2025-33252HIGHNVIDIA NeMo Framework contains a vulnerability where an attacker could cause remote code execution. A successful exploit of this vulnerabiliEPSS 0.2%CVE-2025-9906HIGHArbitrary Code execution in Keras Safe ModeEPSS 0.2%CVE-2025-5148MEDIUMFunAudioLLM InspireMusic Pickle Data model.py load_state_dict deserializationEPSS 0.2%CVE-2025-4701MEDIUMVITA-MLLM Freeze-Omni utils.py torch.load deserializationEPSS 0.2%CVE-2026-1542MEDIUMSuper Stage WP <= 1.0.1 - Unauthenticated PHP Object InjectionEPSS 0.2%CVE-2025-4742MEDIUMXU-YIJIE grpo-flat grpo_vanilla.py main deserializationEPSS 0.2%CVE-2025-4740MEDIUMBeamCtrl Airiana coef deserializationEPSS 0.2%CVE-2024-0140MEDIUMNVIDIA RAPIDS contains a vulnerability in cuDF and cuML, where a user could cause a deserialization of untrusted data issue. A successful exEPSS 0.2%CVE-2026-86841MEDIUMBookly 23.2 - 28.2 - Bookly Administrator+ PHP Object Injection via Diagnostics Advanced OptionsEPSS 0.2%CVE-2025-9365HIGHFuji Electric FRENIC-Loader 4 Deserialization of Untrusted DataEPSS 0.2%CVE-2025-33253HIGHNVIDIA NeMo Framework contains a vulnerability where an attacker could cause remote code execution by convincing a user to load a maliciouslEPSS 0.2%CVE-2023-20944HIGHIn run of ChooseTypeAndAccountActivity.java, there is a possible escalation of privilege due to unsafe deserialization. This could lead to lEPSS 0.2%CVE-2025-20275MEDIUMCisco Unified Contact Center Express Editor Remote Code Execution VulnerabilityEPSS 0.2%CVE-2026-95897MEDIUMDask Loader core.py from_npy_stack deserializationEPSS 0.2%CVE-2026-95928MEDIUMrecommenders-team recommenders Dict Loading mind_iterator.py pickle.load deserializationEPSS 0.2%CVE-2025-33212HIGHNVIDIA NeMo Framework contains a vulnerability in model loading that could allow an attacker to exploit improper control mechanisms if a useEPSS 0.2%