Weaknesses of type CWE-183

48 results

Lista Permissiva de Entradas Permitidas

Ocorre quando uma aplicação define uma lista de entradas 'seguras' ou permitidas que é demasiado aberta, deixando passar dados malformados ou maliciosos que não deveriam ser aceitos. O risco está em validar por uma whitelist fraca, assumindo que tudo dentro dela é inofensivo quando na verdade comportamentos perigosos conseguem passar.

Example

Uma API permite apenas domínios de email em uma whitelist (ex: 'example.com', 'empresa.com'), mas a regex usada é mal configurada e aceita também 'example.com.atacante.com' ou '.example.com'; um usuário autenticado indevidamente consegue registrar-se ou fazer bypass de verificações.

How to mitigate

Use validação por blacklist combinada com whitelist restrita, ou melhor ainda: valide por padrão rigoroso (regex exato ou parsing estruturado). Teste a whitelist com casos extremos e variações (subdomínios, caracteres especiais, null bytes) antes de deploy. Revise periodicamente o escopo da lista permitida.

CVE-2026-41387HIGHOpenClaw < 2026.3.22 - Supply Chain Redirection via Incomplete Host Environment SanitizationEPSS 0.2%CVE-2026-11525LOWundici vulnerable to Set-Cookie SameSite attribute downgrade via permissive substring matchingEPSS 0.2%CVE-2026-63649MEDIUMThe Windows interactive service in OpenVPN 2.4.0 through 2.6.21 and 2.7_alpha1 through 2.7.5 allows local authenticated users to bypass the EPSS 0.2%CVE-2026-2303MEDIUMHeap Out-of-Bounds Read in Go Driver GSSAPI C Wrappers enables application crash or information leakEPSS 0.2%CVE-2026-42042MEDIUMAxios: XSRF Token Cross-Origin Leakage via Prototype Pollution Gadget in `withXSRFToken` Boolean CoercionEPSS 0.2%CVE-2026-44111LOWOpenClaw < 2026.4.15 - Arbitrary Markdown File Read via QMD memory_getEPSS 0.2%CVE-2026-2302MEDIUMUnsafe Reflection in Mongoid::Criteria.from_hashEPSS 0.2%CVE-2026-66005MEDIUMJan Local API Server CORS Origin Reflection via 0.0.0.0 BindingEPSS 0.2%