Fallos del tipo CWE-502

3041 resultados

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados recebidos (JSON, XML, binário) sem validar se o resultado é seguro. Um atacante pode injetar código malicioso ou estruturas que exploram o processo de desserialização para executar ações arbitrárias no servidor ou cliente.

Ejemplo

Um serviço Java desserializa um objeto enviado pelo usuário usando ObjectInputStream sem filtros. O atacante envia um payload serializado que, ao ser reconstituído, executa comandos do sistema. Cenário comum: aplicações legadas que confiam em dados de rede ou arquivos sem inspeção.

Cómo mitigar

Valide e filtre dados antes de desserializar — use listas de classes permitidas (whitelisting), implemente validação de schema, e prefira formatos simples (JSON com parse restritivo) em vez de binários com lógica automática. Para linguagens críticas como Java, use bibliotecas seguras ou desabilite gadgets perigosos.

CVE-2023-36480CRITICALAerospike Java Client vulnerable to unsafe deserialization of server responsesEPSS 1.8%CVE-2023-21713HIGHMicrosoft SQL Server Remote Code Execution VulnerabilityEPSS 1.8%CVE-2021-21867HIGHAn unsafe deserialization vulnerability exists in the ObjectManager.plugin ObjectStream.ProfileByteArray functionality of CODESYS GmbH CODESEPSS 1.8%CVE-2026-3059CRITICALCVE-2026-3059EPSS 1.8%CVE-2022-40609HIGHIBM SDK, Java Technology Edition code executionEPSS 1.8%CVE-2026-42471HIGHUnsafe deserialization vulnerability in MixPHP Framework 2.x thru 2.2.17. The sync-invoke client (Connection.php:76) calls unserialize() on EPSS 1.8%CVE-2021-20318—The HornetQ component of Artemis in EAP 7 was not updated with the fix for CVE-2016-4978. A remote attacker could use this flaw to execute aEPSS 1.8%CVE-2023-1714HIGHBitrix24 Remote Command Execution (RCE) via Unsafe Variable ExtractionEPSS 1.8%CVE-2021-41129HIGHAuthentication bypass in PterodactylEPSS 1.8%CVE-2020-7385HIGHMetasploit Framework 'drb_remote_codeexec' code executionEPSS 1.8%CVE-2023-46302—Apache Submarine: Fix CVE-2022-1471 SnakeYaml unsafe deserializationEPSS 1.7%CVE-2023-27068CRITICALDeserialization of Untrusted Data in Sitecore Experience Platform through 10.2 allows remote attackers to run arbitrary code via ValidationREPSS 1.7%CVE-2024-56058CRITICALWordPress VRPConnector plugin <= 2.0.1 - PHP Object Injection vulnerabilityEPSS 1.7%CVE-2026-40860CRITICALApache Camel: Unsafe Deserialization of JMS ObjectMessage in camel-jms, camel-sjms, camel-sjms2 and camel-amqpEPSS 1.7%CVE-2022-36006HIGHAuthenticated remote code execution due to insecure deserialization (GHSL-2022-063)EPSS 1.7%CVE-2026-50652HIGHAzure Active Directory Denial of Service VulnerabilityEPSS 1.7%CVE-2022-2437CRITICALFeed Them Social – for Twitter feed, Youtube and more <= 2.9.8.5 - Unauthenticated PHAR DeserializationEPSS 1.7%CVE-2021-21868HIGHAn unsafe deserialization vulnerability exists in the ObjectManager.plugin Project.get_MissingTypes() functionality of CODESYS GmbH CODESYS EPSS 1.7%CVE-2020-36718CRITICALGDPR CCPA Compliance Support <= 2.3 - PHP Object InjectionEPSS 1.7%CVE-2024-11041CRITICALRemote Code Execution in vllm-project/vllmEPSS 1.7%