Weaknesses of type CWE-202

49 results

Exposição de informações sensíveis através de consultas de dados

A aplicação expõe dados confidenciais (senhas, tokens, PII) ao responder consultas que deveriam ser restritas ou filtradas. O problema ocorre quando o sistema não valida ou sanitiza adequadamente quais dados um usuário pode acessar, permitindo que requisições retornem informações que não deveriam estar visíveis.

Example

Uma API de busca de usuários retorna campos como senha hash ou token de reset mesmo quando o cliente não tem permissão para vê-los. Ou um endpoint de listagem de pedidos expõe dados de clientes de outras contas porque não há verificação de ownership na query.

How to mitigate

Implemente filtros de saída (output filtering) baseados em permissões: cada resultado deve passar por validação de acesso do usuário. Use princípio do menor privilégio nas queries, selecionando apenas colunas necessárias, e adicione testes automatizados que verificam se dados sensíveis vazam em respostas não autorizadas.

CVE-2021-4159—A vulnerability was found in the Linux kernel's EBPF verifier when handling internal data structures. Internal memory locations could be retEPSS 0.2%CVE-2026-3546MEDIUMe-shot <= 1.0.2 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via API Token via 'eshot_form_builder_get_account_data' AJAX ActionEPSS 0.2%CVE-2026-79620MEDIUMApache Answer: Improper Authorization Allows Disclosure of Non-Public Question MetadataEPSS 0.2%CVE-2026-106506MEDIUMBackstage: Improper input validation in scaffolder task list orderingEPSS 0.2%CVE-2026-33530HIGHInvenTree Vulnerable to ORM Filter InjectionEPSS 0.2%CVE-2026-110183MEDIUMPostgreSQL Anonymizer: statistics can expose some of the original data after statistic maskingEPSS 0.2%CVE-2026-100420MEDIUMInformation disclosure vulnerability in the cloud-client daemon of Deco BE63EPSS 0.2%CVE-2026-105615LOWPostgreSQL Anonymizer: Masked roles can read the statistics of masked columns in pg_statsEPSS 0.1%CVE-2026-118544LOWCommerce Core - Moderately critical - Information disclosure - SA-CONTRIB-2026-259EPSS 0.1%