Weaknesses of type CWE-258

10 results

Senha vazia em arquivo de configuração

Ocorre quando credenciais (usuários, senhas de banco de dados, chaves de API) são armazenadas em arquivos de configuração sem proteção, com senhas em branco ou omitidas. Um atacante que ganhe acesso ao arquivo — via traversal de diretório, vazamento de repositório Git ou leitura de arquivo — obtém acesso imediato aos sistemas protegidos por essas credenciais.

Example

Um arquivo database.conf contém 'password=' (vazio) ou 'password=admin123' em texto plano no servidor. Se alguém fizer download do arquivo via vulnerabilidade web ou clone acidental do repositório no GitHub, consegue se conectar ao banco de dados sem esforço.

How to mitigate

Use gerenciadores de segredos (HashiCorp Vault, AWS Secrets Manager) ou variáveis de ambiente injetadas em tempo de execução. Nunca commite credenciais em repositórios; adicione arquivos de config ao .gitignore e mantenha templates de exemplo sem valores sensíveis. Se usar arquivos locais, restrinja permissões (chmod 600) e criptografe valores críticos.

CVE-2019-5021CRITICALVersions of the Official Alpine Linux Docker images (since v3.3) contain a NULL password for the `root` user. This vulnerability appears to EPSS 6.3%CVE-2018-17914—InduSoft Web Studio versions prior to 8.1 SP2, and InTouch Edge HMI (formerly InTouch Machine Edition) versions prior to 2017 SP2. This vulnEPSS 4.6%CVE-2020-29478—CA Service Catalog 17.2 and 17.3 contain a vulnerability in the default configuration of the Setup Utility that may allow a remote attacker EPSS 1.2%CVE-2023-43016HIGHIBM Security Access Manager Container unauthorized accessEPSS 0.7%CVE-2023-39439HIGHSAP Commerce accepts empty passphrases.EPSS 0.7%CVE-2025-9276CRITICALCockroach Labs cockroach-k8s-request-cert Empty Root Password Authentication Bypass VulnerabilityEPSS 0.7%CVE-2024-4106MEDIUMA vulnerability has been found in FAST/TOOLS and CI Server. The affected products have built-in accounts with no passwords set. Therefore, iEPSS 0.4%CVE-2024-28744HIGHThe password is empty in the initial configuration of ACERA 9010-08 firmware v02.04 and earlier, and ACERA 9010-24 firmware v02.04 and earliEPSS 0.3%CVE-2025-4395MEDIUMMedtronic MyCareLink Patient Monitor Empty Password VulnerabilityEPSS 0.3%CVE-2024-35137MEDIUMIBM Security Access Manager Docker information disclosureEPSS 0.3%