Weaknesses of type CWE-254

6 results

Implementação incorreta ou ausente de recursos de segurança

A aplicação falha em implementar corretamente mecanismos de segurança essenciais, ou os implementa de forma incompleta. Isso deixa brechas onde controles que deveriam proteger dados ou funcionalidades sensíveis simplesmente não funcionam como esperado, permitindo bypass ou exploração.

Example

Um sistema de autenticação que valida credenciais no cliente (JavaScript) mas não verifica no servidor, ou um recurso de criptografia de dados que é inicializado mas nunca efetivamente aplicado aos dados sensíveis armazenados.

How to mitigate

Implemente controles de segurança no servidor, não no cliente. Realize auditorias de código focadas em validar que cada mecanismo de segurança (autenticação, criptografia, validação) foi de fato integrado e testado. Use checklists de segurança antes de deployr.

CVE-2018-0353—A vulnerability in traffic-monitoring functions in Cisco Web Security Appliance (WSA) could allow an unauthenticated, remote attacker to cirEPSS 3.8%CVE-2017-12353—A vulnerability in the Multipurpose Internet Mail Extensions (MIME) scanner of Cisco AsyncOS Software for Cisco Email Security Appliances (EEPSS 1.6%CVE-2018-0110—A vulnerability in Cisco WebEx Meetings Server could allow an authenticated, remote attacker to access the remote support account even afterEPSS 1.4%CVE-2021-43177—As a result of an incomplete fix for CVE-2015-7225, in versions of devise-two-factor prior to 4.0.2 it is possible to reuse a One-Time-PasswEPSS 0.9%CVE-2018-6336HIGHAn issue was discovered in osquery. A maliciously crafted Universal/fat binary can evade third-party code signing checks. By not completing EPSS 0.5%CVE-2021-40006—Vulnerability of design defects in the security algorithm component. Successful exploitation of this vulnerability may affect confidentialitEPSS 0.1%