Falhas do tipo CWE-502

3.021 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2024-1750MEDIUMTemmokuMVC Image Download images_get_down.php img_replace deserializationEPSS 0.8%CVE-2024-5085HIGHHash Form – Drag & Drop Form Builder <= 1.1.0 - Unauthenticated PHP Object InjectionEPSS 0.8%CVE-2026-78401CRITICALSecurity vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify AccessEPSS 0.8%CVE-2026-0762HIGHGPT Academic stream_daas Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 0.8%CVE-2026-67260HIGHApache Airflow: DAG-author remote code execution on the Scheduler via awaiting_input next_kwargs deserializationEPSS 0.8%CVE-2024-31317HIGHIn multiple functions of ZygoteProcess.java, there is a possible way to achieve code execution as any app via WRITE_SECURE_SETTINGS due to uEPSS 0.8%CVE-2025-34292CRITICALBeWelcome/Rox PHP Object Injection RCEEPSS 0.8%CVE-2024-13889HIGHWordPress Importer <= 0.8.3 - Authenticated (Administrator+) PHP Object InjectionEPSS 0.8%CVE-2026-14558HIGHWP User Frontend < 4.3.10 - Editor+ PHP Object Injection via AI Form BuilderEPSS 0.8%CVE-2026-81757HIGHWordPress Rank Math SEO plugin <= 1.0.276 - Remote Code Execution (RCE) vulnerabilityEPSS 0.8%CVE-2024-58381HIGHPocketMine-MP before 5.11.1 Denial of Service via LoginPacketEPSS 0.8%CVE-2026-103041CRITICALLightLLM through 1.2.0 Unauthenticated Remote Code Execution via Embed Cache RPyC ServiceEPSS 0.8%CVE-2024-13410CRITICALCozyStay <= 1.7.0 and TinySalt <= 3.9.0 - Unauthenticated PHP Object Injection in ajax_handlerEPSS 0.8%CVE-2025-53606CRITICALApache Seata (incubating): Deserialization of untrusted Data in Apache Seata ServerEPSS 0.8%CVE-2024-3018HIGHEssential Addons for Elementor <= 5.9.13 - Authenticated (Author+) PHP Object Injection via error_resetpasswordEPSS 0.8%CVE-2021-32828MEDIUMRegular expression Denial of Service in MooToolsEPSS 0.8%CVE-2024-5352MEDIUManji-plus AJ-Report validationRules deserializationEPSS 0.8%CVE-2024-5351MEDIUManji-plus AJ-Report Javascript getValueFromJs deserializationEPSS 0.8%CVE-2023-37390HIGHWordPress Themesflat Addons For Elementor Plugin <= 2.0.0 is vulnerable to PHP Object InjectionEPSS 0.8%CVE-2025-42980CRITICALInsecure Deserialization in SAP NetWeaver Enterprise Portal Federated Portal NetworkEPSS 0.8%