Weaknesses of type CWE-178

117 results

Tratamento inadequado de sensibilidade a maiúsculas/minúsculas

O código não trata corretamente a diferença entre letras maiúsculas e minúsculas em validações, comparações ou operações de segurança. Um atacante pode contornar filtros ou controles de acesso usando variações de caso (exemplo: 'Admin' em vez de 'admin'), já que a aplicação não normaliza ou compara corretamente as strings.

Example

Um sistema valida nomes de arquivo para bloquear '.exe', mas aceita '.EXE' ou '.Exe' porque a verificação é case-sensitive. Ou um WAF bloqueia a palavra-chave 'union' em SQL, mas o atacante injeta 'UnIoN' e consegue contornar o filtro.

How to mitigate

Normalize sempre para um único case (tipicamente minúsculas) antes de comparar strings em contextos de segurança. Use funções de comparação case-insensitive ou converta explicitamente com toLowerCase()/toUpperCase() antes de validações, filtros e controles de acesso.

CVE-2026-47346HIGHTYPO3 CMS - Broken Access Control in Form FrameworkEPSS 0.3%CVE-2026-86472MEDIUMfast-uri vulnerable to inconsistent host case normalization via percent-encoded octetsEPSS 0.3%CVE-2026-109841MEDIUMundici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokensEPSS 0.3%CVE-2026-54763HIGHTraefik: headerField underscore-variant identity spoofing in BasicAuth / DigestAuth / ForwardAuthEPSS 0.2%CVE-2026-44367LOWKlaw: user lockout due to case sensitivity inconsistencyEPSS 0.2%CVE-2026-111448LOWWheels 4.0.0 through 4.1.2 uses case-insensitive comparisons in path-containment checks on case-sensitive filesystems. Canonical-path checksEPSS 0.2%CVE-2026-57441HIGHMCPVault: PathFilter restricted-directory deny-list bypass via case and trailing dot/space equivalenceEPSS 0.2%CVE-2026-57234LOWNokogiri: XML::Schema on JRuby allows network requests when NONET is set, bypassing CVE-2020-26247EPSS 0.2%CVE-2026-63121MEDIUMKubewarden trusted-repos-policy: uppercase registry host bypasses registry/image deny rulesEPSS 0.2%CVE-2026-106497MEDIUMBackstage: Inconsistent catalog property permission evaluationEPSS 0.2%CVE-2021-48006MEDIUMPocketMine-MP before 4.0.3 Operator Privilege Escalation via Case SensitivityEPSS 0.2%CVE-2026-100693HIGHHugo v0.162.0 before v0.166.0 IP-literal Deny Rule BypassEPSS 0.1%CVE-2026-3532MEDIUMOpenID Connect / OAuth client - Less critical - Access bypass - SA-CONTRIB-2026-027EPSS 0.1%CVE-2026-108721MEDIUMOpen Computer Use through 1.0.0 Denylist Bypass via Case-Variant Bundle IDEPSS 0.1%CVE-2026-105570MEDIUMDocker Sandboxes OAuth response masking could be bypassed with a case-variant token hostEPSS 0.1%CVE-2026-17409CRITICALMultiple Vulnerabilities in IBM API ConnectEPSS —CVE-2026-17085MEDIUMMultiple Vulnerabilities in IBM API ConnectEPSS —