Falhas do tipo CWE-502

3.019 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2023-46279—Apache Dubbo: Bypass deny serialize list check in Apache DubboEPSS 1.7%CVE-2025-21364HIGHMicrosoft Excel Security Feature Bypass VulnerabilityEPSS 1.7%CVE-2023-6654MEDIUMPHPEMS Session Data session.cls.php deserializationEPSS 1.7%CVE-2022-39256CRITICALOrckestra C1 CMS's deserialization of untrusted data allows for arbitrary code execution.EPSS 1.7%CVE-2023-35184HIGHSolarWinds Access Rights Manager Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 1.7%CVE-2022-35223CRITICALEasyUse MailHunter Ultimate - Deserialization of Untrusted DataEPSS 1.7%CVE-2022-45136CRITICALApache Jena SDB allows arbitrary deserialisation via JDBCEPSS 1.7%CVE-2026-33264CRITICALApache Airflow: DAG author RCE on webserver via unrestricted import_string() in BaseSerialization.deserialize()EPSS 1.6%CVE-2022-41137HIGHApache Hive: Deserialization of untrusted data when fetching partitions from the MetastoreEPSS 1.6%CVE-2022-3380HIGHCustomizer Export/Import < 0.9.5 - Admin+ PHP Objection InjectionEPSS 1.6%CVE-2025-53691HIGHSitecore Experience Remote Code Execution through Insecure DeserializationEPSS 1.6%CVE-2026-65674HIGHMicrosoft SQL Server Remote Code Execution VulnerabilityEPSS 1.6%CVE-2022-31115HIGHUnsafe YAML deserialization in opensearch-rubyEPSS 1.6%CVE-2022-2434HIGHString Locator <= 2.5.0 - Cross-Site Request Forgery to PHAR DeserializationEPSS 1.6%CVE-2020-36727CRITICALNewsletter Manager <= 1.5.1 - Insecure DeserializationEPSS 1.6%CVE-2022-1032HIGHInsecure deserialization of not validated module file in crater-invoice/craterEPSS 1.6%CVE-2022-2433HIGHWordPress Infinite Scroll – Ajax Load More <= 5.5.3 - Cross-Site Request Forgery to PHAR DeserializationEPSS 1.6%CVE-2024-28859MEDIUMGadget chain in Symfony 1 due to vulnerable Swift Mailer dependencyEPSS 1.6%CVE-2023-21762HIGHMicrosoft Exchange Server Spoofing VulnerabilityEPSS 1.6%CVE-2024-10553CRITICALJdbc Deserialization in h2oai/h2o-3EPSS 1.6%