Fallos del tipo CWE-502

2668 resultados

Desserialização de dados não confiáveis

A aplicação reconstrói objetos a partir de dados recebidos (JSON, XML, binário) sem validar se o resultado é seguro. Um atacante pode injetar código malicioso ou estruturas que exploram o processo de desserialização para executar ações arbitrárias no servidor ou cliente.

Ejemplo

Um serviço Java desserializa um objeto enviado pelo usuário usando ObjectInputStream sem filtros. O atacante envia um payload serializado que, ao ser reconstituído, executa comandos do sistema. Cenário comum: aplicações legadas que confiam em dados de rede ou arquivos sem inspeção.

Cómo mitigar

Valide e filtre dados antes de desserializar — use listas de classes permitidas (whitelisting), implemente validação de schema, e prefira formatos simples (JSON com parse restritivo) em vez de binários com lógica automática. Para linguagens críticas como Java, use bibliotecas seguras ou desabilite gadgets perigosos.

CVE-2025-6279MEDIUMUpsonic Pickle add_tool cloudpickle.loads deserializationEPSS 0.6%CVE-2025-32293HIGHWordPress Finance Consultant theme <= 2.8 - PHP Object Injection VulnerabilityEPSS 0.6%CVE-2025-31924HIGHWordPress Crafts & Arts theme <= 2.5 - PHP Object Injection VulnerabilityEPSS 0.6%CVE-2025-32284HIGHWordPress Pet World theme <= 2.8 - PHP Object Injection VulnerabilityEPSS 0.6%CVE-2025-30160HIGHRedlib allows a Denial of Service via DEFLATE Decompression Bomb in restore_preferences FormEPSS 0.6%CVE-2025-33255HIGHNVIDIA TRT-LLM for any platform contains a vulnerability in MPI server, where an attacker could cause an unsafe deserialization. A successfuEPSS 0.6%CVE-2023-51414CRITICALWordPress EnvíaloSimple Plugin <= 2.1 is vulnerable to PHP Object InjectionEPSS 0.6%CVE-2026-66583CRITICALWordPress Forminator plugin <= 1.57.0 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-28105CRITICALWordPress Good Energy theme <= 1.7.7 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-49763CRITICALWordPress Integration for Contact Form 7 HubSpot plugin <= 1.3.7 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-28149CRITICALWordPress Headless Single Sign On plugin <= 1.6 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-57677CRITICALWordPress Novalnet Payment Gateway for WooCommerce plugin <= 12.10.3 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-84834CRITICALWordPress JobSearch plugin <= 3.2.0 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-57724CRITICALWordPress Kirki plugin <= 6.0.12 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-27429CRITICALWordPress Nifty theme <= 1.4.1 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-27083CRITICALWordPress Work & Travel Company theme <= 1.2 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-73341CRITICALWordPress RegistrationMagic plugin <= 6.0.9.7 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-73397CRITICALWordPress Youzify plugin <= 1.3.7 - Deserialization of untrusted data vulnerabilityEPSS 0.6%CVE-2026-84753CRITICALWordPress Mail Mint plugin <= 1.31.0 - PHP Object Injection vulnerabilityEPSS 0.6%CVE-2026-32470CRITICALWordPress FundEngine plugin <= 1.7.9 - PHP Object Injection vulnerabilityEPSS 0.6%