Fallos del tipo CWE-502

2653 resultados

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados recebidos (JSON, XML, binário) sem validar se o resultado é seguro. Um atacante pode injetar código malicioso ou estruturas que exploram o processo de desserialização para executar ações arbitrárias no servidor ou cliente.

Ejemplo

Um serviço Java desserializa um objeto enviado pelo usuário usando ObjectInputStream sem filtros. O atacante envia um payload serializado que, ao ser reconstituído, executa comandos do sistema. Cenário comum: aplicações legadas que confiam em dados de rede ou arquivos sem inspeção.

Cómo mitigar

Valide e filtre dados antes de desserializar — use listas de classes permitidas (whitelisting), implemente validação de schema, e prefira formatos simples (JSON com parse restritivo) em vez de binários com lógica automática. Para linguagens críticas como Java, use bibliotecas seguras ou desabilite gadgets perigosos.

CVE-2021-39132HIGHYAML deserialization can run untrusted codeEPSS 1.7%CVE-2026-59124CRITICALMicrosoft High Performance Computing (HPC) Pack Remote Code Execution VulnerabilityEPSS 1.7%CVE-2022-40314CRITICALA remote code execution risk when restoring backup files originating from Moodle 1.9 was identified.EPSS 1.7%CVE-2021-37632HIGHDeserialization of Untrusted Data in com.supermartijn642.configlib.ConfigSyncPacketEPSS 1.7%CVE-2022-41237CRITICALJenkins DotCi Plugin 2.40.00 and earlier does not configure its YAML parser to prevent the instantiation of arbitrary types, resulting in a EPSS 1.7%CVE-2022-37023—Apache Geode deserialization of untrusted data flaw when using REST API on Java 8 or Java 11EPSS 1.7%CVE-2021-21866HIGHA unsafe deserialization vulnerability exists in the ObjectManager.plugin ProfileInformation.ProfileData functionality of CODESYS GmbH CODESEPSS 1.7%CVE-2024-49063HIGHMicrosoft/Muzic Remote Code Execution VulnerabilityEPSS 1.7%CVE-2025-32444CRITICALvLLM Vulnerable to Remote Code Execution via Mooncake IntegrationEPSS 1.7%CVE-2023-46279—Apache Dubbo: Bypass deny serialize list check in Apache DubboEPSS 1.7%CVE-2023-6654MEDIUMPHPEMS Session Data session.cls.php deserializationEPSS 1.7%CVE-2021-36336CRITICALWyse Management Suite 3.3.1 and below versions contain a deserialization vulnerability that could allow an unauthenticated attacker to execuEPSS 1.7%CVE-2021-21867HIGHAn unsafe deserialization vulnerability exists in the ObjectManager.plugin ObjectStream.ProfileByteArray functionality of CODESYS GmbH CODESEPSS 1.6%CVE-2022-36006HIGHAuthenticated remote code execution due to insecure deserialization (GHSL-2022-063)EPSS 1.6%CVE-2022-41137HIGHApache Hive: Deserialization of untrusted data when fetching partitions from the MetastoreEPSS 1.6%CVE-2026-25166HIGHWindows System Image Manager Assessment and Deployment Kit (ADK) Remote Code Execution VulnerabilityEPSS 1.6%CVE-2022-45136CRITICALApache Jena SDB allows arbitrary deserialisation via JDBCEPSS 1.6%CVE-2022-31115HIGHUnsafe YAML deserialization in opensearch-rubyEPSS 1.6%CVE-2020-36727CRITICALNewsletter Manager <= 1.5.1 - Insecure DeserializationEPSS 1.6%CVE-2021-1413MEDIUMCisco RV340, RV340W, RV345, and RV345P Dual WAN Gigabit VPN Routers Authenticated Remote Code Execution VulnerabilitiesEPSS 1.6%