Weaknesses of type CWE-1188

214 results

Padrão inseguro que deveria ser alterado pelo administrador

O software sai da fábrica com configurações padrão inseguras (senhas fracas, portas abertas, protocolos desabilitados) que o administrador precisaria mudar manualmente. O problema é quando o desenvolvedor assume que essa mudança vai acontecer e não força o usuário a fazer isso na primeira execução, deixando sistemas desprotegidos em produção.

Example

Um servidor web vem com credenciais padrão (admin/admin) e a documentação diz 'altere na primeira inicialização'. Mas o admin esquece ou não lê, e o sistema fica acessível com essas credenciais conhecidas publicamente, permitindo invasão imediata.

How to mitigate

Force a mudança de configurações críticas na primeira inicialização (modo setup obrigatório), gere padrões fortes automaticamente (senhas aleatórias) ou desabilite recursos perigosos por padrão, exigindo ativação explícita do admin com reconhecimento dos riscos.

CVE-2025-59044MEDIUMHimmelblau vulnerable to GID collision via group name-derived mapping (privilege escalation)EPSS 0.1%CVE-2026-36612MEDIUMMercusys AC12G (EU) V1 with firmware AC12G(EU)_V1_200909 enables WPS 2.0 by default with a weak lockout policy (60-second lockout after 10 aEPSS 0.1%CVE-2024-9949MEDIUMDenial of Service in Forescout SecureConnectorEPSS 0.1%CVE-2026-36616MEDIUMMercusys AC12G (EU) V1 with firmware AC12G(EU)_V1_200909 contains hardcoded WiFi driver credentials including a RADIUS shared secret, WPS teEPSS 0.1%CVE-2024-34063LOWDegraded secret zeroization capabilities in vodozemacEPSS 0.1%CVE-2025-48621HIGHIn DefaultTransitionHandler.java, there is a possible way to enable a tapjacking attack due to a insecure default. This could lead to local EPSS 0.1%CVE-2025-32330MEDIUMIn generateRandomPassword of LocalBluetoothLeBroadcast.java, there is a possible way to intercept the Auracast audio stream due to an insecuEPSS 0.1%CVE-2026-27662HIGHAffected devices do not properly restrict access to the web browser via the Control Panel when no corresponding security mechanisms are in pEPSS 0.1%CVE-2022-20466MEDIUMIn applyKeyguardFlags of NotificationShadeWindowControllerImpl.java, there is a possible way to observe the user's password on a secondary dEPSS 0.1%CVE-2026-33921MEDIUMNpcap driver installed without administrator-only access restriction on Windows in Arc before v2.7.0EPSS 0.1%CVE-2024-34734HIGHIn onForegroundServiceButtonClicked of FooterActionsViewModel.kt, there is a possible way to disable the active VPN app from the lockscreen EPSS 0.1%CVE-2025-48629HIGHIn findAvailRecognizer of VoiceInteractionManagerService.java, there is a possible way to become the default speech recognizer app due to anEPSS 0.1%CVE-2026-0134MEDIUMIn PostWipeData of recovery_ui.cpp, there is a possible data persistence issue after a factory reset due to a logic error in the code. This EPSS 0.1%CVE-2026-86246CRITICALApache Tomcat Native: Insecure OpenSSL options enabledEPSS —