Fallos del tipo CWE-502

3041 resultados

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados recebidos (JSON, XML, binário) sem validar se o resultado é seguro. Um atacante pode injetar código malicioso ou estruturas que exploram o processo de desserialização para executar ações arbitrárias no servidor ou cliente.

Ejemplo

Um serviço Java desserializa um objeto enviado pelo usuário usando ObjectInputStream sem filtros. O atacante envia um payload serializado que, ao ser reconstituído, executa comandos do sistema. Cenário comum: aplicações legadas que confiam em dados de rede ou arquivos sem inspeção.

Cómo mitigar

Valide e filtre dados antes de desserializar — use listas de classes permitidas (whitelisting), implemente validação de schema, e prefira formatos simples (JSON com parse restritivo) em vez de binários com lógica automática. Para linguagens críticas como Java, use bibliotecas seguras ou desabilite gadgets perigosos.

CVE-2021-23894CRITICALUnauthorized deserialization of untrusted data in McAfee DBSecEPSS 2.2%CVE-2022-39944HIGHThe Apache Linkis JDBC EngineConn module has a RCE VulnerabilityEPSS 2.2%CVE-2023-39476CRITICALInductive Automation Ignition JavaSerializationCodec Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 2.2%CVE-2020-15098HIGHMissing Required Cryptographic Step Leading to Sensitive Information Disclosure in TYPO3 CMSEPSS 2.2%CVE-2023-39410—Apache Avro Java SDK: Memory when deserializing untrusted data in Avro Java SDKEPSS 2.2%CVE-2022-3861HIGHBetheme <= 26.5.1.4 - Authenticated (Subscriber+) PHP Object InjectionEPSS 2.2%CVE-2022-39311CRITICALCompromised agents may be able to execute remote code on GoCD ServerEPSS 2.2%CVE-2020-6959—The following versions of MAXPRO VMS and NVR, MAXPRO VMS:HNMSWVMS prior to Version VMS560 Build 595 T2-Patch, HNMSWVMSLT prior to Version VMEPSS 2.2%CVE-2025-62204HIGHMicrosoft SharePoint Remote Code Execution VulnerabilityEPSS 2.2%CVE-2026-16062MEDIUMEvent Booking Manager for WooCommerce < 5.3.7 - Contributor+ PHP Object Injection via Event Timeline and FAQ ContentEPSS 2.2%CVE-2025-24447CRITICALColdFusion | Deserialization of Untrusted Data (CWE-502)EPSS 2.2%CVE-2023-21779HIGHVisual Studio Code Remote Code Execution VulnerabilityEPSS 2.1%CVE-2021-29476CRITICALInsecure Deserialization of untrusted data in rmccue/requestsEPSS 2.1%CVE-2024-30042HIGHMicrosoft Excel Remote Code Execution VulnerabilityEPSS 2.1%CVE-2025-55232CRITICALMicrosoft High Performance Compute (HPC) Pack Remote Code Execution VulnerabilityEPSS 2.1%CVE-2022-31605CRITICALNVFLARE, versions prior to 2.1.2, contains a vulnerability in its utils module, where YAML files are loaded via yaml.load() instead of yaml.EPSS 2.1%CVE-2022-31604CRITICALNVFLARE, versions prior to 2.1.2, contains a vulnerability in its PKI implementation module, where The CA credentials are transported via piEPSS 2.1%CVE-2025-30284HIGHColdFusion | Deserialization of Untrusted Data (CWE-502)EPSS 2.1%CVE-2022-0573HIGHJFrog Artifactory before 7.36.1 and 6.23.41, is vulnerable to Insecure Deserialization of untrusted data which can lead to DoS, Privilege EsEPSS 2.1%CVE-2023-29216CRITICALApache Linkis DatasourceManager module has a deserialization command executionEPSS 2.1%