Weaknesses of type CWE-1025

12 results

Comparação com fatores incorretos

A aplicação compara valores ou objetos usando critérios incompletos ou inadequados, deixando passar situações que deveriam ser tratadas diferentemente. Isso acontece quando o desenvolvedor compara apenas parte das propriedades relevantes, ou usa a comparação errada para o contexto, abrindo brechas lógicas na validação ou controle de acesso.

Example

Um sistema de autorização que compara apenas o ID do usuário entre dois tokens, ignorando o timestamp de expiração ou o escopo de permissões. Um atacante pode reusar um token antigo ou escalado para acessar recursos que não deveria.

How to mitigate

Identifique todos os fatores que devem ser considerados na comparação (identidade, tempo, escopo, contexto) e implemente a validação de forma explícita. Revise a lógica de comparação em pontos críticos de segurança (autenticação, autorização, verificação de integridade) com testes que cobrem casos extremos e estados inválidos.

CVE-2025-32464MEDIUMHAProxy 2.2 through 3.1.6, in certain uncommon configurations, has a sample_conv_regsub heap-based buffer overflow because of mishandling ofEPSS 0.7%CVE-2024-20342MEDIUMCisco Firepower Threat Defense Software Rate Filter Bypass VulnerabilityEPSS 0.5%CVE-2025-71377HIGHstoatchat before 20250210-1 Unrestricted Message History FetchEPSS 0.4%CVE-2026-9800HIGHKeycloak-policy-enforcer: keycloak policy enforcer: authorization bypass via incorrect uri comparisonEPSS 0.4%CVE-2025-27839LOWoperations/attestation/AttestationTask.kt in the Tangem SDK before 5.18.3 for Android has a logic flow in offline wallet attestation (genuinEPSS 0.4%CVE-2025-2887MEDIUMFailure to detect delegated target rollback in toughEPSS 0.3%CVE-2025-2888MEDIUMImproper timestamp caching during snapshot rollback in toughEPSS 0.3%CVE-2026-40880HIGHZebra: Cached Mempool Verification Bypasses Consensus Rules for Ahead-of-Tip BlocksEPSS 0.3%CVE-2026-21691MEDIUMiccDEV has Type Confusion in CIccTag:IsTypeCompressed()EPSS 0.2%CVE-2026-40227MEDIUMIn systemd 260 before 261, a local unprivileged user can trigger an assert via an IPC API call with an array or map that has a null element.EPSS 0.2%CVE-2026-48860HIGHDistribution-over-TLS LAN allowlist silently bypassed due to sockname/peername confusion in inet_tls_distEPSS 0.2%CVE-2025-25306CRITICALMisskey's Incomplete Patch of CVE-2024-52591 Leads to Forgery of Federated NotesEPSS 0.2%