Falhas do tipo CWE-502

3.012 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2024-26579CRITICALApache Inlong JDBC VulnerabilityEPSS 1.1%CVE-2023-2042MEDIUMDataGear JDBC Server deserializationEPSS 1.1%CVE-2025-8266MEDIUMyanyutao0402 ChanCMS collect.js getArticle deserializationEPSS 1.1%CVE-2025-54366HIGHFreeScout's deserialization of untrusted data leads to Remote Code ExecutionEPSS 1.1%CVE-2025-59245CRITICALMicrosoft SharePoint Online Elevation of Privilege VulnerabilityEPSS 1.1%CVE-2026-41316HIGHERB has an @_init deserialization guard bypass via def_module / def_method / def_classEPSS 1.1%CVE-2026-46495CRITICALOpenDJ Pre-Auth RCE via Java Deserialization in JMX RMIEPSS 1.1%CVE-2024-42363HIGHGHSL-2023-136_SamsonEPSS 1.1%CVE-2024-1856HIGHProgress Telerik Reporting Remote Deserialization VulnerabilityEPSS 1.1%CVE-2022-41203CRITICALIn some workflow of SAP BusinessObjects BI Platform (Central Management Console and BI LaunchPad), an authenticated attacker with low privilEPSS 1.1%CVE-2023-3343HIGHUser Registration <= 3.0.1 - Authenticated (Subscriber+) PHP Object InjectionEPSS 1.1%CVE-2023-36825CRITICALOrchid Deserialization of Untrusted Data vulnerability leads to Remote Code ExecutionEPSS 1.1%CVE-2024-10190CRITICALUnauthenticated Remote Code Execution in ElasticRendezvousHandler in horovod/horovodEPSS 1.1%CVE-2026-8365HIGHBlocksy <= 2.1.41 - Authenticated (Contributor+) PHP Object Injection via Deserialization of Untrusted Data via 'blocksy_meta' REST API FieldEPSS 1.1%CVE-2026-63767CRITICALktransformers Unauthenticated Pickle Deserialization RCE via ZMQEPSS 1.1%CVE-2023-3308MEDIUMwhaleal IceFrog Aviator Template Engine deserializationEPSS 1.1%CVE-2023-30898CRITICALA vulnerability has been identified in Siveillance Video 2020 R2 (All versions < V20.2 HotfixRev14), Siveillance Video 2020 R3 (All versionsEPSS 1.1%CVE-2023-30899CRITICALA vulnerability has been identified in Siveillance Video 2020 R2 (All versions < V20.2 HotfixRev14), Siveillance Video 2020 R3 (All versionsEPSS 1.1%CVE-2026-47297HIGHMicrosoft SQL Server Remote Code Execution VulnerabilityEPSS 1.1%CVE-2025-2244CRITICALInsecure PHP deserialization issue in GravityZone Console (VA-12634)EPSS 1.1%