Uma das falhas mais graves da história da internet porque transformou uma função comum de preenchimento automático de texto em uma porta de entrada para invasores.

A biblioteca Log4j serve para salvar logs (histórico de eventos) em sistemas Java. Para facilitar a vida dos programadores, ela possuía um recurso chamado JNDI (Java Naming and Directory Interface).

Esse recurso permitia que o Log4j não apenas salvasse um texto, mas também buscasse informações dinâmicas em outros servidores se encontrasse uma sintaxe especial.

O erro foi que o Log4j confiava cegamente no texto recebido e executava os comandos sem nenhuma validação.

CWE-20 (Improper Input Validation): O sistema não validou nem limpou o texto inserido pelo usuário antes de processá-lo.

CWE-502 (Deserialization of Untrusted Data): O sistema executou códigos e objetos vindos de uma fonte externa não confiável.