Weaknesses of type CWE-206

1 result

Discrepância observável no comportamento interno

A aplicação expõe diferenças no seu comportamento interno de forma observável externamente, permitindo que um atacante infira informações sensíveis através de análise de tempo, mensagens de erro, ou respostas do sistema. Por exemplo, um sistema que responde diferente quando um usuário existe versus quando não existe em um banco de dados, ou que leva tempos distintos para validar credenciais corretas versus incorretas.

Example

Um login que retorna 'Usuário não encontrado' em 100ms mas 'Senha incorreta' em 500ms revela se um e-mail está cadastrado ou não. Um atacante enumera usuários válidos apenas observando os tempos de resposta, sem nunca quebrar uma senha.

How to mitigate

Padronize tempos de resposta (use delays simulados se necessário), retorne mensagens de erro genéricas ('Credenciais inválidas') em todos os casos de falha, e evite branches de código com durações variáveis em operações críticas de autenticação ou autorização. Considere implementar rate-limiting também.

CVE-2026-85199HIGHEclipse aeriOS Self-orchestrator versions prior to 1.2.1 contain a path traversal vulnerability in the REST API. User-controlled identifiersEPSS 0.6%