Weaknesses of type CWE-178

87 results

Tratamento inadequado de sensibilidade a maiúsculas/minúsculas

O código não trata corretamente a diferença entre letras maiúsculas e minúsculas em validações, comparações ou operações de segurança. Um atacante pode contornar filtros ou controles de acesso usando variações de caso (exemplo: 'Admin' em vez de 'admin'), já que a aplicação não normaliza ou compara corretamente as strings.

Example

Um sistema valida nomes de arquivo para bloquear '.exe', mas aceita '.EXE' ou '.Exe' porque a verificação é case-sensitive. Ou um WAF bloqueia a palavra-chave 'union' em SQL, mas o atacante injeta 'UnIoN' e consegue contornar o filtro.

How to mitigate

Normalize sempre para um único case (tipicamente minúsculas) antes de comparar strings em contextos de segurança. Use funções de comparação case-insensitive ou converta explicitamente com toLowerCase()/toUpperCase() antes de validações, filtros e controles de acesso.

CVE-2026-57234LOWNokogiri: XML::Schema on JRuby allows network requests when NONET is set, bypassing CVE-2020-26247EPSS 0.2%CVE-2026-73476MEDIUMExternal Authentication - Moderately critical - Access bypass - SA-CONTRIB-2026-098EPSS 0.2%CVE-2026-57441HIGHMCPVault: PathFilter restricted-directory deny-list bypass via case and trailing dot/space equivalenceEPSS 0.2%CVE-2026-86472MEDIUMfast-uri vulnerable to inconsistent host case normalization via percent-encoded octetsEPSS 0.2%CVE-2026-3532MEDIUMOpenID Connect / OAuth client - Less critical - Access bypass - SA-CONTRIB-2026-027EPSS 0.1%CVE-2021-48006MEDIUMPocketMine-MP before 4.0.3 Operator Privilege Escalation via Case SensitivityEPSS 0.1%CVE-2026-92700MEDIUMCaddy: fileHidden() case-sensitive pattern bypass — exposes "hidden" files via case variationEPSS —