Falhas do tipo CWE-502

3.025 resultados

Desserialização de dados não confiáveis

A aplicação converte dados recebidos de fontes externas (requisições, arquivos, rede) de volta para objetos em memória sem validar se o conteúdo é legítimo. Um atacante pode enviar dados malformados ou maliciosos que, ao serem desserializados, executam código arbitrário ou alteram o comportamento da aplicação.

Exemplo

Um servidor Java que desserializa objetos vindo de um cliente usando ObjectInputStream sem verificar a origem. Um atacante envia um objeto serializado contendo uma gadget chain que executa comandos do sistema operacional quando desserializado.

Como mitigar

Valide rigorosamente o tipo e estrutura dos dados antes de desserializar; use bibliotecas modernas que restringem quais classes podem ser desserializadas (com allowlists); considere alternativas como JSON com parsers estritamente tipados ao invés de serialização nativa de linguagem.

CVE-2025-42963CRITICALInsecure Deserialization in SAP NetWeaver Application Server for Java (Log Viewer )EPSS 0.7%CVE-2025-2622MEDIUMaizuda snail-job Workflow-Task Management Module check-node-expression getRuntime deserializationEPSS 0.7%CVE-2025-8227MEDIUMyanyutao0402 ChanCMS getArticle deserializationEPSS 0.7%CVE-2026-20340HIGHCisco Secure Firewall Management Center Software Deserialization Arbitrary Root Command Execution VulnerabilityEPSS 0.7%CVE-2026-44901HIGHWazuh Cluster DAPI Protocol Deserialization of Untrusted Data Remote Code Execution VulnerabilityEPSS 0.7%CVE-2023-43981CRITICALPresto Changeo testsitecreator up to 1.1.1 was discovered to contain a deserialization vulnerability via the component delete_excluded_foldeEPSS 0.7%CVE-2026-37719CRITICALAn issue in dormakaba evolo Service (all versions) allows a remote attacker to execute arbitrary code as SYSTEM via a .NET component.EPSS 0.7%CVE-2025-4260MEDIUMzhangyanbo2007 youkefu TemplateController.java impsave deserializationEPSS 0.7%CVE-2024-8016CRITICALThe Events Calendar Pro <= 7.0.2 - Authenticated (Administrator+) PHP Object Injection to Remote Code ExecutionEPSS 0.7%CVE-2024-1353MEDIUMPHPEMS index.api.php index deserializationEPSS 0.7%CVE-2025-11938MEDIUMChurchCRM setup.php deserializationEPSS 0.7%CVE-2024-12600HIGHCustom Product Tabs Lite for WooCommerce <= 1.9.0 - Authenticated (Shop Manager+) PHP Object InjectionEPSS 0.7%CVE-2022-2440HIGHTheme Editor <= 2.8 - Authenticated (Admin+) PHAR DeserializationEPSS 0.7%CVE-2025-4803HIGHGlossary by WPPedia <= 1.3.0 - Authenticated (Administrator+) PHP Object InjectionEPSS 0.7%CVE-2025-67619HIGHWordPress Kids Heaven theme <= 3.2 - PHP Object Injection vulnerabilityEPSS 0.7%CVE-2025-65213CRITICALMooreThreads torch_musa through all versions contains an unsafe deserialization vulnerability in torch_musa.utils.compare_tool. The compare_EPSS 0.7%CVE-2024-12138MEDIUMhorilla create_skills deserializationEPSS 0.7%CVE-2017-20206CRITICALAppointments <= 2.2.1 - Unauthenticated PHP Object InjectionEPSS 0.7%CVE-2026-19658CRITICALGive Tributes <= 2.3.1 - Unauthenticated PHP Object Injection via 'give_tributes_ecard_notify[recipient][personalized][]' ParameterEPSS 0.7%CVE-2025-43960HIGHAdminer 4.8.1, when using Monolog for logging, allows a Denial of Service (memory consumption) via a crafted serialized payload (e.g., usingEPSS 0.7%