CWE-502
MITRE Десериализация недоверенных данных
Deserialization of Untrusted Data
CWE-502 — десериализация недоверенных данных: данные из недоверенного источника превращаются в объекты без проверки. Уязвимость возникает там, где сериализованные данные из сети, файла или очереди сообщений разбираются библиотекой десериализации без ограничения допустимых типов. Злоумышленник подбирает последовательность объектов и вызовов, которая при разборе выполняет произвольный код с правами процесса.
Как защититься от CWE-502
Чтобы защититься от CWE-502, подписывайте или запечатывайте десериализуемые данные средствами языка — например, HMAC — и проверяйте подпись до разбора. Задайте белый список допустимых классов, исключите лишние типы и цепочки вызовов из библиотек, пометьте чувствительные поля как transient и разбирайте данные в новый объект с проверкой полей вместо прямого заполнения переданных структур.
Уязвимости с типом CWE-502 (50)
К
9.8Уязвимость платформы управления данными Microsoft Dataverse, связанная с недостатками механизма десериализации, позволяю2026-10-08 К
9.8Уязвимость программного обеспечения TrueConf Server, связанная с непринятием мер по нейтрализации специальных элементов,2026-09-23 В
9.9Уязвимость веб-интерфейса управления платформы управления политиками соединений Cisco Identity Services Engine (ISE), по2026-09-16 Н
3.3Уязвимость функции unserialize() компонента SessionMaker CMS-системы October CMS, позволяющая нарушителю выполнить произ2026-09-13 В
8.1Уязвимость системы управления базами данных Microsoft SQL Server, связанная с недостатками механизма десериализации, поз2026-09-08 К
8.8Уязвимость издательского программного обеспечения Microsoft Publisher, пакетов программ Microsoft Office, Microsoft 365 2026-09-08 В
8.8Уязвимость системы управления базами данных Microsoft SQL Server, связанная с недостатками механизма десериализации, поз2026-09-08 С
8.4Уязвимость компонента ndsudo программного инструмента мониторинга Netdata, позволяющая нарушителю выполнить произвольный2026-09-02 В
8.1Уязвимость компонента FilteredObjectInputStream библиотеки журналирования Java-программ Apache Log4j2, позволяющая наруш2026-08-27 В
8.8Уязвимость компонента camel-spring-redis java-фреймворка Apache Camel, позволяющая нарушителю выполнить произвольный код2026-08-21 К
10.0Уязвимость облачной платформы для управления и защиты идентификационных данных Microsoft Entra ID (ранее Azure Active Di2026-08-20 В
9.1Уязвимость компонента управления учетными данными приложения для обработки и анализа данных Splunk MCP Server, позволяющ2026-08-19 В
8.6Уязвимость графического редактора Adobe Lightroom Classic, связанная с недостатками механизма десериализации, позволяюща2026-08-11 К
9.3Уязвимость функции punkt_pickle_load() пакета библиотек для символьной и статистической обработки естественного языка NL2026-08-11 В
9.9Уязвимость облачной платформы асинхронного обмена сообщениями Azure Service Bus, связанная с недостатками механизма десе2026-08-06 К
9.3Уязвимость функции getDataFromResource() программной платформы PHP pimcore, позволяющая нарушителю выполнить произвольны2026-07-30 К
9.8Уязвимость веб-интерфейса системы непрерывной интеграции и доставки приложений (CI/CD) JetBrains TeamCity, позволяющая н2026-07-27 В
9.0Уязвимость механизма AutoType библиотеки языка программирования Java Fastjson, позволяющая нарушителю выполнить произвол2026-07-21 В
8.4Уязвимость компонента Cluster Distributed API (DAPI) платформы для мониторинга безопасности и обнаружения угроз Wazuh по2026-07-16 В
7.6Уязвимость компонента ctsattach инструмента управления документацией и файлами SAP Change and Transport System Attach To2026-07-14 В
7.8Уязвимость программной платформы Microsoft .NET Framework, связанная с нарушением механизма защиты данных, позволяющая 2026-07-14 К
9.8Уязвимость интегрированной системы управления предприятием Microsoft Dynamics NAV, позволяющая нарушителю выполнить прои2026-07-14 В
7.8Уязвимость программных платформ .NET и Microsoft Visual Studio, связанная с недостатками механизма десериализации, позво2026-07-14 К
9.8Уязвимость пакетов программ Microsoft SharePoint Server, Microsoft SharePoint Server Subscription Edition и Microsoft Sh2026-07-14 В
7.3Уязвимость функции extractBodyFromJms() компонента camel-jms java-фреймворка Apache Camel, позволяющая нарушителю оказат2026-07-06 В
8.8Уязвимость компонента camel-pqc java-фреймворка Apache Camel, позволяющая нарушителю выполнить произвольный код2026-07-06 К
9.8Уязвимость модуля WmServiceMock платформы для интеграции бизнес-процессов IBM WebMethods Integration, позволяющая наруши2026-07-02 К
9.3Уязвимость функции unserialize() программного средства для реализации гипертекстовой среды MediaWiki, позволяющая наруши2026-07-01 К
9.3Уязвимость систем управления жизненным циклом изделий PTC Windchill PDMLink и PTC FlexPLM, связанная с недостаточной про2026-06-18 В
7.5Уязвимость платформы для управления и защиты идентификационных данных Azure Active Directory, связанная с недостатками м2026-06-14 С
7.8Уязвимость функции Outdated._load_cache() файла glances/outdated.py инструмента мониторинга Glances, позволяющая нарушит2026-06-13 К
9.8Уязвимость функции pickle.loads() нейросетевой модели видео для создания реалистичных видеороликов NVIDIA GEN3C, позволя2026-06-11 В
8.8Уязвимость библиотеки XStream сервера автоматизации Jenkins, позволяющая нарушителю осуществить подмену HTTP-запросов, п2026-06-10 В
9.5Уязвимость функции close_sqleditor_session() и check_transaction_status() инструмента управления базами данных pgAdmin 42026-06-10 В
8.8Уязвимость пакетов программ Microsoft SharePoint Server и SharePoint Enterprise Server, связанная с недостатками механиз2026-06-09 В
9.4Уязвимость сервера резервного копирования средства защиты облачных, виртуальных и физических систем Veeam Backup & Repli2026-06-09 К
9.8Уязвимость профессиональной медицинской платформы распознавания речи и автоматизации документооборота Nuance PowerScribe2026-06-09 С
5.4Уязвимость пакетов программ Microsoft SharePoint Server и SharePoint Enterprise Server, связанная с непринятием мер по з2026-06-09 С
5.5Уязвимость функции iptfs_destroy_state() модуля net/xfrm/xfrm_iptfs.c реализации сетевых функций ядра операционной систе2026-06-05 С
6.4Уязвимость HTTP-клиента Aiohttp, связанная с восстановлением в памяти недостоверных данных, позволяющая нарушителю получ2026-06-02 К
9.2Уязвимость кодека Erlpack библиотеки удаленного вызова процедур gRPC для языка программирования Elixir grpc, позволяющий2026-05-25 К
10.0Уязвимость облачной службы Azure для управления геопространственными данными Microsoft Planetary Computer Pro, связанная2026-05-21 В
8.8Уязвимость пакетов программ Microsoft SharePoint Server, Microsoft SharePoint Server Subscription Edition и Microsoft Sh2026-05-21 К
9.8Уязвимость класса SessionSecurityTokenHandler пакетов программ Microsoft SharePoint Server, Microsoft SharePoint Server2026-05-21 В
9.9Уязвимость программного средства визуализации данных и создания отчетов Metabase, связанная с недостатками механизма дес2026-05-16 В
7.5Уязвимость программной платформы на базе git для совместной работы над кодом GitLab, связанная с недостатками механизма 2026-05-14 В
8.8Уязвимость пакета программ Microsoft SharePoint Server, связанная с недостатками механизма десериализации, позволяющая н2026-05-12 В
8.8Уязвимость пакетов программ Microsoft SharePoint Server и SharePoint Enterprise Server, связанная с недостатками механиз2026-05-12 В
8.8Уязвимость пакетов программ Microsoft SharePoint Server и SharePoint Enterprise Server, связанная с недостатками механиз2026-05-12 К
9.6Уязвимость программы мгновенного обмена сообщениями Adobe Connect Desktop Application, связанная с недостатками механизм2026-05-12Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-502 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
