CWE-502

Deserialization of Untrusted Data vulnerability in Liquid Web / StellarWP GiveWP allows Object Injection. This issue affects GiveWP: from n/a through 4.16.7.1.

Deserialization of untrusted data in Microsoft Entra ID allows an unauthorized attacker to execute code over a network.

A Deserialization of Untrusted Data vulnerability affecting SIMULIA Execution Engine from Release 2023 through Release 2026 could lead to an unauthenticated remote code execution.

Rozszerzenie Aimy Captcha-Less Form Guard dla systemu Joomla w wersjach 18.0–20.0 zawiera krytyczną podatność umożliwiającą zdalne wykonanie kodu (RCE) poprzez PHP object injection. Atakujący nieuwierzytelniony zdalnie może przejąć kontrolę nad serwerem, co czyni tę podatność wyjątkowo niebezpieczną.

Podatność typu Deserialization of Untrusted Data w komponencie Station Launcher App platformy 3DEXPERIENCE firmy Dassault Systèmes umożliwia zdalne wykonanie kodu bez uwierzytelnienia. Ocena CVSS 10.0 oznacza maksymalne ryzyko — atakujący może przejąć pełną kontrolę nad systemem bez żadnych uprawnień wstępnych.

Podatność w komponencie Centralized Thirdparty Jars produktu Oracle Platform Security for Java umożliwia nieuwierzytelnionemu atakującemu zdalne przejęcie kontroli nad systemem poprzez sieć HTTP. Ocena CVSS 10.0 oznacza maksymalny poziom krytyczności.

Podatność klasy deserialization of untrusted data (CWE-502) w Microsoft Planetary Computer Pro umożliwia nieuwierzytelnionemu atakującemu ujawnienie informacji przez sieć. Krytyczny wynik CVSS 10.0 oraz brak wymagań co do uprawnień i interakcji użytkownika czynią tę lukę szczególnie niebezpieczną.

Podatność typu code injection w projekcie ChromaDB (wersja 1.0.0 i nowsze) pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie dowolnego kodu na serwerze. Brak wymogu uwierzytelnienia oraz maksymalny wynik CVSS 10.0 czynią tę podatność krytycznym zagrożeniem dla każdej instancji ChromaDB dostępnej z sieci.

Podatność w Microsoft Bing polega na deserializacji niezaufanych danych, co pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu (RCE) przez sieć. Podatność otrzymała maksymalną ocenę CVSS 10.0, co czyni ją wyjątkowo krytyczną.

Podatność w interfejsie webowym Cisco Secure Firewall Management Center (FMC) umożliwia nieuwierzytelnionemu, zdalnemu atakującemu wykonanie dowolnego kodu Java z uprawnieniami root. Podatność otrzymała maksymalny wynik CVSS 10.0 i jest aktywnie wykorzystywana w atakach.

Altec DocLink w wersji 4.0.336.0 udostępnia niezabezpieczone endpointy .NET Remoting bez wymagania uwierzytelnienia, co umożliwia zdalnemu atakującemu wykonanie dowolnego kodu na serwerze. Podatność jest oceniana jako krytyczna z maksymalną oceną CVSS 10.0.

Calero VeraSMART w wersjach wcześniejszych niż 2022 R1 udostępnia nieuwierzytelnioną usługę .NET Remoting HTTP na porcie TCP 8001, umożliwiając zdalnemu atakującemu odczyt i zapis dowolnych plików, a następnie wykonanie kodu w kontekście aplikacji IIS. Podatność otrzymała maksymalną ocenę CVSS 10.0, co oznacza pełne ryzyko kompromitacji systemu bez konieczności posiadania jakichkolwiek danych uwierzytelniających.

EPyT-Flow, pakiet Python do symulacji sieci wodociągowych, zawiera krytyczną podatność w swoim REST API, umożliwiającą zdalne wykonanie kodu (RCE) przez spreparowany payload JSON. Brak wymagań uwierzytelnienia i pełny zakres uprawnień sprawia, że zagrożenie jest maksymalnie poważne (CVSS 10.0).

Podatność krytyczna w platformie datavane TIS łączy dwa wektory ataku: nieograniczony upload plików niebezpiecznego typu (CWE-434) oraz deserializację niezaufanych danych (CWE-502). Możliwość zdalnego wykonania kodu bez uwierzytelnienia czyni ją wyjątkowo groźną dla każdej instalacji TIS przed wersją v4.3.0.

Podatność w bibliotece Hugging Face smolagents umożliwia zdalnym atakującym wykonanie dowolnego kodu bez uwierzytelnienia. Wynika z braku walidacji danych wejściowych podczas deserializacji formatu pickle, co czyni ją wyjątkowo groźną dla każdej instalacji tego oprogramowania.

Barracuda Service Center wchodzący w skład rozwiązania RMM eksponuje usługę .NET Remoting niewystarczająco zabezpieczoną przed deserializacją dowolnych typów. Luka otrzymała maksymalny wynik CVSS 10.0 i umożliwia zdalne wykonanie kodu bez uwierzytelnienia.

Podatność umożliwia zdalne wykonanie kodu (RCE) bez jakiegokolwiek uwierzytelnienia w komponentach React Server Components w wersjach 19.0.0, 19.1.0, 19.1.1 oraz 19.2.0. Jest to podatność krytyczna (CVSS 10.0), aktywnie wykorzystywana w atakach.

Podatność w komponencie N-central Software Probe (wersje przed 2025.4) umożliwia zdalne wykonanie kodu (RCE) poprzez niebezpieczną deserializację danych. Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją krytycznym zagrożeniem dla infrastruktury zarządzanej przez N-Able N-Central.

Krytyczna podatność na deserializację niezaufanych danych (CWE-502) w oprogramowaniu Topal Finanzbuchhaltung firmy Topal Solutions AG umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE). Podatność otrzymała maksymalny wynik CVSS 10.0, co czyni ją ekstremalnie groźną dla każdej organizacji korzystającej z tego produktu.

W produkcie DOXENSE WATCHDOC w wersjach przed 6.1.1.5332 istnieje podatność deserializacji niezaufanych danych (CWE-502), umożliwiająca zdalne wykonanie kodu bez uwierzytelnienia. Krytyczna ocena CVSS 10.0 oznacza pełne zagrożenie dla poufności, integralności i dostępności systemu.