Falhas do tipo CWE-502

3.019 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2021-3035MEDIUMBridgecrew Checkov: Unsafe deserialization of Terraform files allows code executionEPSS 1.3%CVE-2023-51642CRITICALAllegra loadFieldMatch Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 1.3%CVE-2026-0764CRITICALGPT Academic upload Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 1.3%CVE-2026-0763CRITICALGPT Academic run_in_subprocess_wrapper_func Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 1.3%CVE-2026-81385HIGHMicrosoft Office Publisher Remote Code Execution VulnerabilityEPSS 1.3%CVE-2024-49147CRITICALMicrosoft Update Catalog Elevation of Privilege VulnerabilityEPSS 1.3%CVE-2023-51389CRITICALHertzBeat SnakeYAML Deser RCEEPSS 1.3%CVE-2026-102135MEDIUMKiteworks Email Protection Gateway Deserialization of Untrusted DataEPSS 1.3%CVE-2021-32634HIGHDeserialization of Untrusted Data in EmissaryEPSS 1.3%CVE-2025-7697CRITICALIntegration for Google Sheets and Contact Form 7, WPForms, Elementor, Ninja Forms <= 1.1.1 - Unauthenticated PHP Object Injection via verify_field_val FunctionEPSS 1.3%CVE-2019-10924—A vulnerability has been identified in LOGO! Soft Comfort (All versions < V8.3). The vulnerability could allow an attacker to execute arbitrEPSS 1.3%CVE-2024-23114CRITICALApache Camel: Camel-CassandraQL: Unsafe Deserialization from CassandraAggregationRepositoryEPSS 1.3%CVE-2026-76850CRITICALLMDeploy Remote Code Execution via Unsafe Pickle Deserialization in the Disaggregated Serving Peer ConnectorEPSS 1.3%CVE-2025-53002HIGHLLaMA-Factory Remote Code Execution (RCE) VulnerabilityEPSS 1.3%CVE-2023-24162CRITICALDeserialization vulnerability in Dromara Hutool v5.8.11 allows attacker to execute arbitrary code via the XmlUtil.readObjectFromXml parameteEPSS 1.3%CVE-2022-3342HIGHJetpack CRM <= 5.3.1 - Cross-Site Request Forgery and PHAR DeserializationEPSS 1.3%CVE-2022-39297HIGHDeserialization of untrusted data in MelisCmsEPSS 1.3%CVE-2022-39298HIGHDeserialization of untrusted data in MelisFrontEPSS 1.3%CVE-2026-79657CRITICALNLTK before 3.10.3 Remote Code Execution via Unsafe Pickle DeserializationEPSS 1.3%CVE-2025-66455CRITICALLMDeploy has Remote Code Execution by Pickle Deserialization via handle_zmq_recv in lmdeploy/lmdeploy/pytorch/disagg/conn/engine_conn.pyEPSS 1.3%