Falhas do tipo CWE-502

3.016 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2018-15616CRITICALSystem Platform Web UI DeserializationEPSS 3.3%CVE-2022-39198CRITICALApache Dubbo Hession Deserialization Vulnerability Gadgets BypassEPSS 3.3%CVE-2024-22399CRITICALApache Seata: Remote Code Execution vulnerability via Hessian Deserialization in Apache Seata ServerEPSS 3.3%CVE-2025-47994HIGHMicrosoft Office Elevation of Privilege VulnerabilityEPSS 3.3%CVE-2024-11393HIGHHugging Face Transformers MaskFormer Model Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 3.3%CVE-2024-47561CRITICALApache Avro Java SDK: Arbitrary Code Execution when reading Avro schema (Java SDK)EPSS 3.3%CVE-2023-37895CRITICALApache Jackrabbit RMI access can lead to RCEEPSS 3.2%CVE-2021-27460CRITICALRockwell Automation FactoryTalk AssetCentre Deserialization of Untrusted DataEPSS 3.2%CVE-2023-28323CRITICALA deserialization of untrusted data exists in EPM 2022 Su3 and all prior versions that allows an unauthenticated user to elevate rights. ThiEPSS 3.1%CVE-2023-47130HIGHUnsafe deserialization of user data in yiisoft/yiiEPSS 3.1%CVE-2024-52577CRITICALApache Ignite: Possible RCE when deserializing incoming messages by the server nodeEPSS 3.1%CVE-2024-28991CRITICALSolarWinds Access Rights Manager (ARM) Deserialization of Untrusted Data Remote Code ExecutionEPSS 3.1%CVE-2024-6525MEDIUMD-Link DAR-7000 decodmail.php deserializationEPSS 3.1%CVE-2024-52433CRITICALWordPress My Geo Posts Free plugin <= 1.2 - PHP Object Injection vulnerabilityEPSS 3.1%CVE-2020-10672HIGHFasterXML jackson-databind 2.x before 2.9.10.4 mishandles the interaction between serialization gadgets and typing, related to org.apache.arEPSS 3.1%CVE-2026-50522CRITICALMicrosoft SharePoint Remote Code Execution VulnerabilityEPSS 3.0%KEVCVE-2025-42944CRITICALInsecure Deserialization vulnerability in SAP Netweaver (RMI-P4)EPSS 3.0%CVE-2021-27475HIGHRockwell Automation Connected Components Workbench Deserialization of Untrusted DataEPSS 3.0%CVE-2026-12745CRITICALA Deserialization of Untrusted Data vulnerability in Ivanti Neurons for ITSM before 2026.2 allows a remote unauthenticated attacker to execuEPSS 2.9%CVE-2026-12744CRITICALA Deserialization of Untrusted Data vulnerability in Ivanti Neurons for ITSM before 2026.2 allows a remote unauthenticated attacker to execuEPSS 2.9%