Weaknesses of type CWE-172

15 results

Erro de Codificação de Caracteres

É quando o software não trata ou valida corretamente a codificação de caracteres (UTF-8, ASCII, etc.) ao processar entrada de dados ou transmitir informações. Isso permite que um atacante contorne filtros de segurança, injete código malicioso ou cause comportamento inesperado ao fornecer dados em uma codificação diferente da esperada.

Example

Um sistema valida a entrada procurando pela string maliciosa '../../' para bloquear path traversal, mas não normaliza a codificação antes. Um atacante envia o mesmo padrão em UTF-8 com caracteres codificados duplos ou em outra representação, que passa pela validação mas é decodificada para o código perigoso na etapa seguinte.

How to mitigate

Normalize e decodifique toda entrada no início do processamento (antes de qualquer validação), use funções de validação que trabalhem com a forma canônica dos dados, e sempre compare contra listas seguras usando a mesma codificação. Também defina explicitamente a codificação esperada em headers HTTP e configurações de banco de dados.

CVE-2019-10160CRITICALA security regression of CVE-2019-9636 was discovered in python since commit d537ab0ff9767ef024f26246899728f0116b1ec3 affecting versions 2.7EPSS 5.2%CVE-2019-10153MEDIUMA flaw was discovered in fence-agents, prior to version 4.3.4, where using non-ASCII characters in a guest VM's comment or other fields woulEPSS 2.2%CVE-2019-12677HIGHCisco Adaptive Security Appliance Software SSL VPN Denial of Service VulnerabilityEPSS 1.5%CVE-2025-12758HIGHVersions of the package validator before 13.15.22 are vulnerable to Incomplete Filtering of One or More Instances of Special Elements in theEPSS 0.6%CVE-2026-106122MEDIUMRabbitMQ: Malformed UTF-8 in shortstr properties permanently disables RPC consumersEPSS 0.5%CVE-2025-27110HIGHLibmodsecurity3 has possible bypass of encoded HTML entitiesEPSS 0.5%CVE-2026-48784MEDIUMSymfony: UrlGenerator Dot-Segment Encoding Skips Every Other Chained `../` or `./` → Generated URL Collapses Off-Route Under RFC 3986 NormalizationEPSS 0.3%CVE-2026-95101MEDIUMNGINX ngx_http_v3_module vulnerabilityEPSS 0.3%CVE-2026-42926MEDIUMNGINX ngx_http_proxy_v2_module vulnerabilityEPSS 0.3%CVE-2026-104774MEDIUMOWASP Coraza WAF: jsDecode Off-by-One in Octal Escape Handling Enables WAF BypassEPSS 0.3%CVE-2024-48909LOWSpiceDB calls to LookupResources using LookupResources2 with caveats may return context is missing when it is notEPSS 0.3%CVE-2026-100891MEDIUMTrusted Domain Project OpenDMARC Internationalized Domain Name opendmarc_policy.c opendmarc_policy_query_dmarc encoding errorEPSS 0.3%CVE-2021-33604LOWReflected cross-site scripting in development mode handler in Vaadin 14, 15-19EPSS 0.3%CVE-2026-86818MEDIUMfast-uri vulnerable to mailto header injection via percent-encoded field-name desynchronizationEPSS 0.3%CVE-2026-110306MEDIUMfast-uri vulnerable to URI scheme spoofing via percent-encoded scheme decodingEPSS 0.3%