Weaknesses of type CWE-172
9 resultsErro de Codificação de Caracteres
É quando o software não trata ou valida corretamente a codificação de caracteres (UTF-8, ASCII, etc.) ao processar entrada de dados ou transmitir informações. Isso permite que um atacante contorne filtros de segurança, injete código malicioso ou cause comportamento inesperado ao fornecer dados em uma codificação diferente da esperada.
Um sistema valida a entrada procurando pela string maliciosa '../../' para bloquear path traversal, mas não normaliza a codificação antes. Um atacante envia o mesmo padrão em UTF-8 com caracteres codificados duplos ou em outra representação, que passa pela validação mas é decodificada para o código perigoso na etapa seguinte.
Normalize e decodifique toda entrada no início do processamento (antes de qualquer validação), use funções de validação que trabalhem com a forma canônica dos dados, e sempre compare contra listas seguras usando a mesma codificação. Também defina explicitamente a codificação esperada em headers HTTP e configurações de banco de dados.