Fallos del tipo CWE-502

2653 resultados

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados recebidos (JSON, XML, binário) sem validar se o resultado é seguro. Um atacante pode injetar código malicioso ou estruturas que exploram o processo de desserialização para executar ações arbitrárias no servidor ou cliente.

Ejemplo

Um serviço Java desserializa um objeto enviado pelo usuário usando ObjectInputStream sem filtros. O atacante envia um payload serializado que, ao ser reconstituído, executa comandos do sistema. Cenário comum: aplicações legadas que confiam em dados de rede ou arquivos sem inspeção.

Cómo mitigar

Valide e filtre dados antes de desserializar — use listas de classes permitidas (whitelisting), implemente validação de schema, e prefira formatos simples (JSON com parse restritivo) em vez de binários com lógica automática. Para linguagens críticas como Java, use bibliotecas seguras ou desabilite gadgets perigosos.

CVE-2021-21863HIGHA unsafe deserialization vulnerability exists in the ComponentModel Profile.FromFile() functionality of CODESYS GmbH CODESYS Development SysEPSS 1.2%CVE-2024-31224CRITICALGPT Academic: Pickle deserializing cookies may pose RCE riskEPSS 1.2%CVE-2026-79657CRITICALNLTK before 3.10.3 Remote Code Execution via Unsafe Pickle DeserializationEPSS 1.2%CVE-2024-2006HIGHPost Grid, Slider & Carousel Ultimate – with Shortcode, Gutenberg Block & Elementor Widget <= 1.6.7 - Authenticated (Contributor+) PHP Object Injection in outpost_shortcode_metabox_markupEPSS 1.2%CVE-2024-23328CRITICALThe Dataease datasource exists deserialization and arbitrary file read vulnerabilityEPSS 1.2%CVE-2021-21426CRITICALFixes a bug in Zend Framework's Stream HTTP WrapperEPSS 1.2%CVE-2023-3232MEDIUMZhong Bang CRMEB Image Upload app_auth deserializationEPSS 1.2%CVE-2021-32742HIGHUntrusted data fed into `Data.init(base32Encoded:)` can result in exposing server memory and/or crashEPSS 1.2%CVE-2026-23746CRITICALEntrust Instant Financial Issuance (IFI) SmartCardController Service .NET Remoting RCEEPSS 1.2%CVE-2024-23114CRITICALApache Camel: Camel-CassandraQL: Unsafe Deserialization from CassandraAggregationRepositoryEPSS 1.2%CVE-2024-6793CRITICALDeserialization of Untrusted Data in NI VeriStand DataLogging ServerEPSS 1.2%CVE-2024-43383HIGHApache Lucene.Net.Replicator: Remote Code Execution in Lucene.Net.ReplicatorEPSS 1.2%CVE-2024-28213CRITICALnGrinder before 3.5.9 allows to accept serialized Java objects from unauthenticated users, which could allow remote attacker to execute arbiEPSS 1.2%CVE-2023-51518CRITICALApache James server: Privilege escalation via JMX pre-authentication deserialisationEPSS 1.2%CVE-2025-3439CRITICALEverest Forms – Contact Form, Quiz, Survey, Newsletter & Payment Form Builder for WordPress <= 3.1.1 - Unauthenticated PHP Object InjectionEPSS 1.2%CVE-2023-22850HIGHTiki before 24.1, when the Spreadsheets feature is enabled, allows lib/sheet/grid.php PHP Object Injection because of an unserialize call.EPSS 1.2%CVE-2023-3234MEDIUMZhong Bang CRMEB PublicController.php put_image deserializationEPSS 1.2%CVE-2026-54118CRITICALMicrosoft SQL Server Remote Code Execution VulnerabilityEPSS 1.2%CVE-2026-54117CRITICALMicrosoft SQL Server Remote Code Execution VulnerabilityEPSS 1.2%CVE-2026-26221CRITICALHyland OnBase Timer Service Unauthenticated .NET Remoting RCEEPSS 1.2%