Falhas do tipo CWE-502

3.019 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2026-11363MEDIUMNinja Forms <= 3.14.6 - Authenticated (Administrator+) PHP Object Injection via Form ImportEPSS 0.9%CVE-2024-1896HIGHPhoto Gallery <= 1.4.2 - Authenticated(Contributor+) PHP Object Injection via ShortcodeEPSS 0.9%CVE-2025-32607CRITICALWordPress WpBookingly plugin <= 1.3.0 - PHP Object Injection vulnerabilityEPSS 0.9%CVE-2025-39565MEDIUMWordPress MelaPress Login Security plugin <= 2.1.0 - PHP Object Injection VulnerabilityEPSS 0.9%CVE-2025-45146CRITICALModelCache for LLM through v0.2.0 was discovered to contain an deserialization vulnerability via the component /manager/data_manager.py. ThiEPSS 0.9%CVE-2024-45758CRITICALH2O.ai H2O through 3.46.0.4 allows attackers to arbitrarily set the JDBC URL, leading to deserialization attacks, file reads, and command exEPSS 0.9%CVE-2022-33900MEDIUMWordPress Easy Digital Downloads plugin <= 3.0.1 - PHP Object Injection vulnerabilityEPSS 0.9%CVE-2026-7654HIGHAdmin Columns <= 7.0.18 - Authenticated (Contributor+) PHP Object Injection to Remote Code Execution via Custom Field Meta ValueEPSS 0.9%CVE-2024-13742CRITICALiControlWP – Multiple WordPress Site Manager <= 4.4.5 - Unauthenticated PHP Object InjectionEPSS 0.9%CVE-2026-4703CRITICALWS Form LITE <= 1.10.80 - Unauthenticated PHP Object Injection via Form SubmissionEPSS 0.9%CVE-2023-40595HIGHRemote Code Execution via Serialized Session PayloadEPSS 0.9%CVE-2022-3291MEDIUMSerialization of sensitive data in GitLab EE affecting all versions from 14.9 prior to 15.2.5, 15.3 prior to 15.3.4, and 15.4 prior to 15.4.EPSS 0.9%CVE-2025-27522MEDIUMApache InLong: JDBC Vulnerability during verification processingEPSS 0.9%CVE-2022-20763MEDIUMCisco Webex Meetings Java Deserialization VulnerabilityEPSS 0.9%CVE-2026-26978HIGHFree PBX backup: Deserialization of Untrusted Data in admin/modules/backup/Models/BackupSplFileInfo.phpEPSS 0.9%CVE-2025-0465MEDIUMAquilaCMS categories deserializationEPSS 0.9%CVE-2025-24357HIGHvLLM allows a malicious model RCE by torch.load in hf_model_weights_iteratorEPSS 0.9%CVE-2024-1872HIGHButton <= 1.1.27 - Authenticated (Contributor+) PHP Object Injection in button_shortcodeEPSS 0.9%CVE-2025-7916CRITICALSimopro Technology｜WinMatrix3 - Insecure DeserializationEPSS 0.9%CVE-2024-0825HIGHVimeography: Vimeo Video Gallery WordPress Plugin <= 2.3.2 - Authenticated (Contributor+) PHP Object InjectionEPSS 0.9%