潜在有害程序（英语：Potentially unwanted program, PUP）或潜在有害应用（英语：Potentially unwanted application, PUA）是用户可能认为不需要的软件，通常在用户不知情或不愿意的情况下与用户想安装的软件一起被安装在用户的计算机上。

这种软件可能会破坏用户用户隐私或计算机安全。软件提供者通常使用户下载目标程序的同时下载一个糖衣程序。然后在缺乏选择排除的情况下，该程序可能在用户电脑上安装其他软件，附加软件通常没有任何安装提示，也无法卸载或在安装时选择排除。

杀毒软件会把这些捆绑软件识别为潜在有害程序（PUP）或潜在有害应用（PUA），包括广告软件，或向广告商出售用户网络活动的软件，向用户浏览的网页上加入自己的广告，使用高额短信服务向用户收费的软件。这些行为被广泛认为是不道德的，因为它们在没有用户知情的情况下危害了用户的计算机安全。

一些附加软件会在用户设备上安装根证书，从而使得黑客可以绕过浏览器警告拦截私人信息如银行账户信息。美国国土安全部建议用户清除一个不安全的根证书，因为他们会使用户暴露在严重的网络攻击下。

越来越多的开源软件项目表示，第三方网站在不通知项目组的情况下对他们的软件进行捆绑已经成为一个问题。几乎每个第三方免费软件下载网站都会在他们的下载中捆绑潜在附加软件(PUP)。

软件开发者和安全专家建议人们只从官方网站上下载最新版，或从可信任的软件包管理系统或应用商店下载程序。

历史上，首先利用潜在附加软件(PUP)制造利润的是美国的大公司们如Zango。在这些公司们被有关部门因为安装侵略性的有害的软件被调查后，这些行为减少了。

致力于用捆绑潜在附加软件(PUP)来创造利润的企业们与Israeli软件公司们通常被叫做Download Valley。 这些公司们占有了很大一部分的软件下载安装工具市场，这些工具会往用户电脑上安装捆绑软件。这些公司几乎不受有关部门干扰。

近年，附加软件正在逐渐增多，2014年的一个研究显示24.77% 的恶意软件被分类成附加软件。

很多软件包括附加的浏览器插件会记录用户的网络活动并向广告商出售这些信息，或在用户浏览的网页上插入广告 在Google拥有的网站的访问数据中，5%的浏览器访问被计算机程序注入了程序自己的广告。 研究人员筛选出了被用于广告注入的50,870个Google Chrome插件和34,407个程序。38%的插件和17%的程序被分类为恶意软件，其余的被分类为潜在附加广告程序。一些Google Chrome插件开发者把她们的插件出售给第三方公司，这些公司静默的推送附加更新使插件们变为广告程序。

间谍软件会在用户的电脑上安装代理服务器以监控所有通过代理服务器的网络流量，分析这些流量，提取用户特征并把它们出售给广告商。

Superfish是一个广告注入软件，它会在系统中生成自己的根证书使得该软件可以在加密的谷歌搜索结果中插入广告并监视用户的搜索结果。

2015年1月，美国国土安全部建议用户卸载Superfish和与它相关的根证书，因为他们会使用户暴露在严重的网络攻击下，这些攻击包括拦截通过浏览器传输的用户密码和敏感数据。 Heise Security（英语：Heinz Heise） 在SAY Media和Lavasoft等公司的广告软件的中发现被捆绑在其中的Superfish的证书。

很多公司使用浏览器劫持来更改用户的首页和搜索页以增加特定网站的点击量并通过广告赚取利润 一些公司盗取用户浏览器中的cookies信息，劫持他们到网站的网络连接，并在不通知用户的情况下用用户的账号进行操作（比如安装Android应用）。

一些用户使用拨号连接通过调制解调器访问互联网，这些用户成为了欺诈软件的目标，它们使用操作系统中的安全漏洞来向收费电话拨号。

很多Android设备成为了恶意软件的目标，它们使用收费短信服务并向用户收费。

2015年, 一个来自EMSISOFT的研究指出，所有免费下载网站在它们的下载中捆绑潜在附加软件，Download.com被指为“最差分子” Lowell Heddings表达了他的沮丧："."

2011年12月，Download.com开始在他们的软件中捆绑潜在附加软件，Gordon Lyon对Download.com的做法表示强烈厌恶并对这些捆绑软件表示担忧。Gordon Lyon的文章被很多人在社交网络上传播，并引起了几十个媒体报道。主要的问题集中在Download.com提供的内容 和原作者创作的软件的不同上；对Download.com的指责包括欺骗和著作权与商标侵权。

2014年，The Register和US-CERT警告用户：download.com的 ""使"".

很多开源软件开发者对打包他们的软件并用他们的软件赚取广告费（它们总能占据搜索引擎的第一位）的公司们的行为表示挫败与沮丧。这些网站越来越多的在下载中使用被捆绑的安装器，其中就包括 潜在附加软件，并让捆绑软件看起来像是开发者背书的官方下载页面。

2013年11月，GIMP，一个免费图像编辑软件，因为SourceForge上的误导性的下载按钮与进行捆绑安装的SourceForge Windows安装器，其开发者从SourceForge移除了它的下载链接。与之相比，GIMP的开发者曾经认为SourceForge是一个""，他们现在面临""2015年5月,GIMP的Windows版SourceForge项目的所有权被转移到"SourceForge Editorial Staff" 账号并且广告软件下载按钮被恢复。 同样的事情发生在nmap的开发者身上。

2015年5月，SourceForge取走了一些移到其他代码托管网站的开源项目的管理权限并把项目的下载链接换成广告程序的下载链接。

Gordon Lyon失去了Nmap项目的SourceForge页面的管理权限，SourceForge接管了该页面。Lyon说："you don't click on the fake download buttons) and we haven't caught themtrojaning Nmap the way they did with GIMP. But we certainly don't trustthem one bit! Sourceforge is pulling the same scheme that CNetDownload.com tried back when they started circling the drain

VideoLAN对它们的用户在使用搜索引擎搜索它们时搜索到广告网页表示失望。这些网站让用户下载被捆绑的软件，捆绑软件中包括恶意软件，但是VideoLAN并没有足够的钱去起诉这么多的公司滥用他们的商标。