Falhas do tipo CWE-502

2.668 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2025-10950MEDIUMgeyang ml-logger Ping server.py log_handler deserializationEPSS 0.3%CVE-2025-60231CRITICALWordPress The Hospital theme <= 1.8.1 - PHP Object Injection vulnerabilityEPSS 0.3%CVE-2025-10965MEDIUMLazyAGI LazyLLM server.py lazyllm_call deserializationEPSS 0.3%CVE-2025-10433MEDIUM1Panel-dev MaxKB debug deserializationEPSS 0.3%CVE-2025-60236CRITICALWordPress Creatify theme <= 1.5 - PHP Object Injection vulnerabilityEPSS 0.3%CVE-2026-49816HIGHDell Command Update (DCU), versions prior to 5.7.1, contain a Deserialization of Untrusted Data vulnerability. A low privileged attacker witEPSS 0.3%CVE-2025-10974MEDIUMgiantspatula SewKinect Endpoint calculate pickle.loads deserializationEPSS 0.3%CVE-2025-10975MEDIUMGuanxingLu vlarl ZeroMQ reasoning_server.py run_reasoning_server deserializationEPSS 0.3%CVE-2026-47856MEDIUMJsonToObjectTransformer resolves the json__TypeId__ message header to an arbitrary class without an allow-listEPSS 0.3%CVE-2026-49817HIGHDell Command Update (DCU), versions prior to 5.7.1, contain a Deserialization of Untrusted Data vulnerability. A low privileged attacker witEPSS 0.3%CVE-2026-22612HIGHFickling vulnerable to detection bypass due to "builtins" blindnessEPSS 0.3%CVE-2025-64512HIGHpdfminer.six vulnerable to Arbitrary Code Execution via Crafted PDF InputEPSS 0.3%CVE-2026-11729HIGHIBM MQ Java messaging is vulnerable to remote code executionEPSS 0.3%CVE-2026-24165HIGHNVIDIA BioNeMo contains a vulnerability where a user could cause a deserialization of untrusted data. A successful exploit of this vulnerabiEPSS 0.3%CVE-2024-33641MEDIUMWordPress Custom field finder plugin <= 0.3 - PHP Object Injection vulnerabilityEPSS 0.3%CVE-2025-15610CRITICALThe .NET Remoting framework used by OpenText Fax (RightFax) includes known security vulnerabilities that could be exploited if the service iEPSS 0.3%CVE-2025-60455HIGHUnsafe Deserialization vulnerability in Modular Max Serve before 25.6, specifically when the "--experimental-enable-kvcache-agent" feature iEPSS 0.3%CVE-2024-37502MEDIUMWordPress Social Login plugin <= 2.6.3 - PHP Object Injection vulnerabilityEPSS 0.3%CVE-2026-63630LOWBentoPDF: Workflow Import Allows Unvalidated TSA URL Leading to PDF Hash Exfiltration via RFC 3161 RequestsEPSS 0.3%CVE-2026-23971HIGHWordPress WoodMart theme <= 8.3.8 - PHP Object Injection vulnerabilityEPSS 0.3%