Falhas do tipo CWE-502

2.668 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2024-35780HIGHWordPress Page Builder: Live Composer plugin <= 1.5.42 - Contributor+ PHP Object Injection vulnerabilityEPSS 0.4%CVE-2025-12844HIGHAI Engine <= 3.1.8 - Authenticated (Subscriber+) PHP Object Injection via PHAR DeserializationEPSS 0.4%CVE-2021-27240HIGHThis vulnerability allows local attackers to escalate privileges on affected installations of SolarWinds Patch Manager 2020.2.1. An attackerEPSS 0.4%CVE-2025-34449MEDIUMGenymobile/scrcpy <= 3.3.3 Global Buffer OverflowEPSS 0.4%CVE-2025-26873CRITICALWordPress Traveler theme <= 3.1.8 - PHP Object Injection vulnerabilityEPSS 0.4%CVE-2026-2020HIGHJS Archive List <= 6.1.7 - Authenticated (Contributor+) PHP Object Injection via 'included' Shortcode AttributeEPSS 0.4%CVE-2025-11135MEDIUMpmTicket Project-Management-Software Cookie class.database.php loadLanguage deserializationEPSS 0.4%CVE-2025-62035HIGHWordPress Togo theme < 1.0.4 - PHP Object Injection vulnerabilityEPSS 0.4%CVE-2026-10538HIGHImproper deserialization handling in Control-M ComponentsEPSS 0.4%CVE-2026-76547MEDIUMProfile Builder < 4.0.1 - Admin+ PHP Object Injection via Import/ExportEPSS 0.4%CVE-2024-3468HIGHDeserialization of Untrusted Data in AVEVA PI Web APIEPSS 0.4%CVE-2026-59307HIGHDeserialization allow-list silently bypassed: setBeanClassLoader replaces deserializer but mapper keeps stale referenceEPSS 0.4%CVE-2026-24162HIGHNVIDIA Transformers4Rec for Linux contains a vulnerability where an attacker could cause improper deserialization of untrusted data. A succeEPSS 0.4%CVE-2026-19116HIGHWP User Frontend < 4.3.11 - Subscriber+ PHP Object Injection via Frontend Post Edit FormEPSS 0.4%CVE-2026-82093HIGHDataStage on Cloud Pak for Data has several vulnerabilitiesEPSS 0.4%CVE-2024-34072HIGHDeserialization of Untrusted Data in sagemaker-python-sdkEPSS 0.4%CVE-2024-13297MEDIUMEloqua - Moderately critical - Arbitrary PHP code execution - SA-CONTRIB-2024-063EPSS 0.4%CVE-2025-49417CRITICALWordPress WooCommerce Product Multi-Action plugin <= 1.3 - Deserialization of untrusted data VulnerabilityEPSS 0.4%CVE-2026-7712MEDIUMMindsDB Pickle pickle.loads deserializationEPSS 0.4%CVE-2026-9497MEDIUMchangmingxie tcc-transaction Fastjson AutoType REST API Fastjson.parseObject deserializationEPSS 0.4%