Weaknesses of type CWE-295

869 results

Validação inadequada de certificado SSL/TLS

A aplicação falha em validar corretamente o certificado SSL/TLS do servidor remoto, aceitando certificados inválidos, expirados ou de hosts diferentes. Isso permite ataques man-in-the-middle onde um atacante intercepta a comunicação sem ser detectado, comprometendo a confidencialidade e integridade dos dados.

Example

Uma app mobile que desativa a verificação de certificado para 'facilitar testes' acaba em produção; um atacante na mesma rede Wi-Fi intercepta requisições HTTPS para roubar tokens de autenticação ou dados sensíveis sem que a app perceba.

How to mitigate

Sempre validar o certificado do servidor (hostname, cadeia de certificados, data de validade), nunca desabilitar verificações em produção, e usar apenas bibliotecas atualizadas que implementam corretamente as regras de validação de TLS.

CVE-2026-24508LOWDell Alienware Command Center (AWCC), versions prior to 6.12.24.0, contain an Improper Certificate Validation vulnerability. A low privilegeEPSS 0.1%CVE-2026-89102HIGHOCSP stapling v2 multi accepts non-CA chain certificates as issuersEPSS —CVE-2026-93302HIGHTrusted peer certificate match ignores public key, allowing forged CA clonesEPSS —CVE-2026-100835CRITICALContrast before 1.16.0 Remote Attestation Relay AttackEPSS —CVE-2026-89135MEDIUMFailed X509_verify_cert leaves unverified CA in shared CertManagerEPSS —CVE-2026-89133MEDIUMNameConstraints not enforced across unconstrained intermediate CAEPSS —CVE-2026-100665HIGHNetty 4.2.11 through 4.2.17 QUIC Hostname Verification BypassEPSS —CVE-2026-100701MEDIUMNodemailer 5.0.0 through 10.0.1 TLS servername Cache ConfusionEPSS —CVE-2026-89134MEDIUMSubject CN name-constraint check bypassed when non-DNS SAN presentEPSS —