Falhas do tipo CWE-502

3.019 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2024-5671CRITICALInsecure Deserialization in some workflows of the IPS Manager allows unauthenticated remote attackers to perform arbitrary code execution anEPSS 0.9%CVE-2026-43867CRITICALApache Camel: Camel-PQC: The AWS Secrets Manager key-lifecycle manager deserializes persisted key metadata with java.io.ObjectInputStream and no ObjectInputFilterEPSS 0.9%CVE-2026-50633HIGHApache CXF: JNDI Injection vulnerability in DispatchMDBMessageListenerImplEPSS 0.9%CVE-2026-3422CRITICALe-Excellence｜U-Office Force - Insecure DeserializationEPSS 0.9%CVE-2025-35050CRITICALNewforma Info Exchange (NIX) .NET unauthenticated deserializationEPSS 0.9%CVE-2025-27781HIGHApplio allows unsafe deserialization in inference.pyEPSS 0.9%CVE-2025-27779HIGHApplio allows unsafe deserialization in model_blender.pyEPSS 0.9%CVE-2023-5391CRITICAL A CWE-502: Deserialization of untrusted data vulnerability exists that could allow an attacker to execute arbitrary code on the targeted EPSS 0.9%CVE-2025-27780HIGHApplio allows unsafe deserialization in model_information.pyEPSS 0.9%CVE-2026-41104CRITICALMicrosoft Planetary Computer Pro Information Disclosure VulnerabilityEPSS 0.9%CVE-2025-10492HIGHJaspersoft Library Deserialisation VulnerabilityEPSS 0.9%CVE-2024-2501HIGHHubbub Lite – Fast, Reliable Social Network Sharing Buttons <= 1.33.1 - PHP Object InjectionEPSS 0.9%CVE-2023-6730CRITICALDeserialization of Untrusted Data in huggingface/transformersEPSS 0.9%CVE-2026-72649HIGHDeserialization of Untrusted Data in Elasticsearch Leading to Remote Code ExecutionEPSS 0.9%CVE-2026-24892HIGHopenITCOCKPIT has Unsafe Deserialization in openITCOCKPIT Changelog HandlingEPSS 0.9%CVE-2023-46154MEDIUMWordPress e2pdf Plugin <= 1.20.18 is vulnerable to PHP Object InjectionEPSS 0.9%CVE-2026-69098CRITICALkotaemon 0.12.0 Unauthenticated Remote Code Execution via Insecure DeserializationEPSS 0.9%CVE-2026-93467CRITICALHGiga｜OAKlouds - Insecure DeserializationEPSS 0.9%CVE-2025-32568CRITICALWordPress EmpikPlace for Woocommerce Plugin <= 1.4.3 - PHP Object Injection vulnerabilityEPSS 0.9%CVE-2026-11363MEDIUMNinja Forms <= 3.14.6 - Authenticated (Administrator+) PHP Object Injection via Form ImportEPSS 0.9%