Falhas do tipo CWE-502

3.019 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2025-27778HIGHApplio allows unsafe deserialization in infer.pyEPSS 1.0%CVE-2026-91939CRITICALCotonti 1.0.0 Comments Plugin PHP Object Injection via ci ParameterEPSS 1.0%CVE-2025-48389HIGHFreeScout Vulnerable to Deserialization of Untrusted DataEPSS 1.0%CVE-2023-0960MEDIUMSeaCMS Picture Management config.ftp.php deserializationEPSS 1.0%CVE-2026-27727HIGHmchange-commons-java: Remote Code Execution via JNDI Reference ResolutionEPSS 1.0%CVE-2025-43846HIGHGHSL-2025-016_Retrieval-based-Voice-Conversion-WebUIEPSS 1.0%CVE-2025-43847HIGHGHSL-2025-017_Retrieval-based-Voice-Conversion-WebUIEPSS 1.0%CVE-2025-43848HIGHGHSL-2025-018_Retrieval-based-Voice-Conversion-WebUIEPSS 1.0%CVE-2026-23524CRITICALLaravel Redis Horizontal Scaling Insecure DeserializationEPSS 1.0%CVE-2026-48397HIGHLightroom Classic | Deserialization of Untrusted Data (CWE-502)EPSS 1.0%CVE-2026-8476CRITICALDisk Cache Deserialization Remote Code Execution VulnerabilityEPSS 1.0%CVE-2024-3020HIGHCarousel, Slider, Gallery by WP Carousel – Image Carousel & Photo Gallery, Post Carousel & Post Grid, Product Carousel & Product Grid for WooCommerce <= 2.6.3 - Authenticated (Admin+) PHP Object InjectionEPSS 1.0%CVE-2026-71981HIGHCypht < 2.12.2 PHP Object Injection RCE via back_query ParameterEPSS 1.0%CVE-2026-14512CRITICALIBM WebSphere Application Server is affected by an unsafe deserialization and exposure of sensitive informationEPSS 1.0%CVE-2024-13980CRITICALH3C Intelligent Management Center (iMC) /byod/index.xhtml RCEEPSS 1.0%CVE-2024-1773HIGHPDF Invoices and Packing Slips For WooCommerce <= 1.3.7 - Authenticated (Subscriber+) PHP Object InjectionEPSS 1.0%CVE-2025-43849HIGHGHSL-2025-019_Retrieval-based-Voice-Conversion-WebUIEPSS 1.0%CVE-2025-43850HIGHGHSL-2025-020_Retrieval-based-Voice-Conversion-WebUIEPSS 1.0%CVE-2025-47277CRITICALvLLM Allows Remote Code Execution via PyNcclPipe Communication ServiceEPSS 1.0%CVE-2025-34491HIGHGFI MailEssentials < 21.8 MultiNode Insecure DeserializationEPSS 1.0%