Falhas do tipo CWE-502

3.019 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2026-55175HIGHSpinnaker: Improper yaml processing on kustomize bake operationsEPSS 1.1%CVE-2026-26215CRITICALmanga-image-translator Shared API Unsafe Deserialization RCEEPSS 1.1%CVE-2024-47886HIGHChamilo: Post-Auth Remote Code ExecutionEPSS 1.1%CVE-2021-22095—In Spring AMQP versions 2.2.0 - 2.2.19 and 2.3.0 - 2.3.11, the Spring AMQP Message object, in its toString() method, will create a new StrinEPSS 1.1%CVE-2024-50507CRITICALWordPress DS.DownloadList plugin <= 1.3 - PHP Object Injection vulnerabilityEPSS 1.0%CVE-2025-26866HIGHApache HugeGraph-Server: RAFT and deserialization vulnerabilityEPSS 1.0%CVE-2024-37288CRITICALA deserialization issue in Kibana can lead to arbitrary code execution when Kibana attempts to parse a YAML document containing a crafted paEPSS 1.0%CVE-2023-2141HIGHUnsafe .NET object deserialization affecting DELMIA Apriso Release 2017 through Release 2022 EPSS 1.0%CVE-2022-1415HIGHDrools: unsafe data deserialization in streamutilsEPSS 1.0%CVE-2023-33496CRITICALxxl-rpc v1.7.0 was discovered to contain a deserialization vulnerability via the component com.xxl.rpc.core.remoting.net.impl.netty.codec.NeEPSS 1.0%CVE-2026-34838CRITICALGroup-Office: Authenticated Remote Code Execution via PHP Insecure Deserialization in `AbstractSettingsCollection`EPSS 1.0%CVE-2023-51570CRITICALVoltronic Power ViewPower Pro Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 1.0%CVE-2024-27604CRITICALAlldata V0.4.6 is vulnerable to Command execution vulnerability. System commands can be deserialized.EPSS 1.0%CVE-2026-12046CRITICALpgAdmin 4: Unauthenticated pickle deserialization in SQL Editor close / update_connection routes enables remote code executionEPSS 1.0%CVE-2023-51656—Apache IoTDB: Unsafe deserialize map in Sync ToolEPSS 1.0%CVE-2024-20926MEDIUMVulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: ScriptiEPSS 1.0%CVE-2023-25558HIGHDeserialization of untrusted data in DataHubEPSS 1.0%CVE-2026-119706CRITICALLMDeploy 0.9.0 through 0.18.0 Unauthenticated RCE via /update_weights Pickle DeserializationEPSS 1.0%CVE-2025-62420HIGHDataEase vulnerable to remote code execution via H2 JDBC driver bypassEPSS 1.0%CVE-2026-15969CRITICALCVE-2026-15969EPSS 1.0%