Falhas do tipo CWE-502

3.019 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2023-7064HIGHShortcodes and extra features for Phlox theme <= 2.17.5 - Authenticated (Subscriber+) PHP Object Injection via auxin_template_control_importerEPSS 0.9%CVE-2024-1897HIGHGrid Gallery – Photo Image Grid Gallery <= 1.4.3 - Authenticated (Contributor+) PHP Object Injection via shortcodeEPSS 0.9%CVE-2024-30226CRITICALWordPress BetterDocs plugin <= 3.3.3 - Unauthenticated PHP Object Injection vulnerabilityEPSS 0.9%CVE-2026-48560MEDIUMMicrosoft SharePoint Server Spoofing VulnerabilityEPSS 0.9%CVE-2025-48200CRITICALThe sr_feuser_register extension through 12.4.8 for TYPO3 allows Remote Code Execution.EPSS 0.9%CVE-2026-26222CRITICALDocLink .NET Remoting Unauthenticated Arbitrary File Read/Write RCEEPSS 0.9%CVE-2026-62263CRITICALOpenAM: WebAuthn Java deserialization RCE via ObjectInputFilter depth>1 bypassEPSS 0.9%CVE-2025-27528CRITICALApache InLong: JDBC Vulnerability for Invisible Character Bypass Leading to Arbitrary File ReadEPSS 0.9%CVE-2026-54469HIGHDell Unisphere for PowerMax, version(s) 10.3.0.5 and prior, contain(s) a Deserialization of Untrusted Data vulnerability. A low privileged aEPSS 0.9%CVE-2026-57516HIGHRay < 2.56.0 Unsafe Deserialization RCE via WebDataset ReaderEPSS 0.9%CVE-2025-1077CRITICALRemote Code Execution vulnerability in IBL Software Engineering Visual Weather and derived products (NAMIS, Aero Weather, Satellite Weather)EPSS 0.9%CVE-2024-0603HIGHZhiCms giftcontroller.php deserializationEPSS 0.9%CVE-2023-29006HIGHOrder GLPI plugin vulnerable to remote code execution from authenticated userEPSS 0.9%CVE-2025-27526MEDIUMApache InLong: JDBC Vulnerability For URLEncode and backspace bypassEPSS 0.9%CVE-2023-6656MEDIUMDeepFaceLab DFLJPG.py deserializationEPSS 0.9%CVE-2024-4413CRITICALHotel Booking Lite <= 4.11.1 - Unauthenticated PHP Object InjectionEPSS 0.9%CVE-2024-5335CRITICALUltimate Store Kit Elementor Addons, Woocommerce Builder, EDD Builder, Elementor Store Builder, Product Grid, Product Table, Woocommerce Slider <= 1.6.4 - Unauthenticated PHP Object InjectionEPSS 0.9%CVE-2022-2870MEDIUMlaravel deserializationEPSS 0.9%CVE-2024-1731HIGHAuto Refresh Single Page <= 1.1 - Authenticated (Contributor+) PHP Object InjectionEPSS 0.9%CVE-2026-49950CRITICALXorbits Xoscar 0.11.2 Unauthenticated Deserialization RCE via Actor PoolEPSS 0.9%