Weaknesses of type CWE-297

76 results

Validação inadequada de certificados SSL/TLS

A aplicação não valida corretamente o certificado SSL/TLS do servidor remoto, aceitando certificados expirados, auto-assinados ou emitidos para outro domínio. Isso permite ataques man-in-the-middle onde um atacante intercepta a comunicação criptografada e se passa pelo servidor legítimo, expondo dados sensíveis como credenciais e informações de negócio.

Example

Uma app mobile conecta a uma API via HTTPS, mas o código ignora erros de validação de certificado ou desabilita verificações de hostname. Um atacante na mesma rede WiFi intercepta a requisição com um certificado falso e captura tokens de autenticação ou dados pessoais em trânsito.

How to mitigate

Implemente validação rigorosa: verificar data de validade, cadeia de certificados raiz confiável e correspondência exata de hostname. Em Java, use SSLContext com truststore correto; em Python, ative verificação SSL no requests; nunca use 'verify=False' ou equivalentes em produção. Realize auditorias de código focando em bibliotecas HTTP e sockets.

CVE-2026-59272MEDIUMLog4j2 AmqpAppender disables TLS hostname verification by defaultEPSS 0.2%CVE-2024-7346HIGHClient connections using default TLS certificates from OpenEdge may bypass TLS host name validationEPSS 0.2%CVE-2026-84393HIGHA improper validation of certificate with host mismatch vulnerability in Fortinet FortiOS 7.6.1 through 7.6.6, FortiProxy 7.6.2 through 7.6.EPSS 0.2%CVE-2026-62243HIGHNetty 4.2.0 through 4.2.16 TLS Hostname Verification BypassEPSS 0.2%CVE-2026-84975HIGHPJSIP: TLS server identity (hostname) verification bypass via embedded NUL in certificate SubjectAltName (OpenSSL and GnuTLS backends)EPSS 0.2%CVE-2024-12925HIGHHost Header Injection in Akinsoft's QR MenuEPSS 0.2%CVE-2026-49457CRITICALQUIC has Broken TLS verificationEPSS 0.1%CVE-2026-12162MEDIUMImproper host validation in the social login autofill feature in Devolutions Remote Desktop Manager 2026.2.8 allows an attacker to disclosEPSS 0.1%CVE-2026-44467HIGHClaude Desktop: SSH Host Key Verification Bypass Allows Man-in-the-Middle Attack on Remote SessionsEPSS 0.1%CVE-2026-79636HIGHDell SCG 5.0 Appliance versions prior to 5.36.00.16 and Dell SCG 5.0 Application versions prior to 5.36.00.00, contains an Improper ValidatiEPSS 0.1%CVE-2025-25253MEDIUMAn Improper Validation of Certificate with Host Mismatch vulnerability [CWE-297] in FortiProxy version 7.6.1 and below, version 7.4.8 and beEPSS 0.1%CVE-2026-9744MEDIUMVulnerabilities exists in IBM Netezza SoftwareEPSS 0.1%CVE-2025-4295MEDIUMHost Header Injection in HotelRunner's B2BEPSS 0.1%CVE-2026-12730LOWImproper Validation of Certificate with Host Mismatch in IBM Business Automation Workflow containersEPSS 0.1%CVE-2026-79943MEDIUMDell SCG 5.0 Appliance versions prior to 5.36.00.16 and Dell SCG 5.0 Application versions prior to 5.36.00.00, contains an Improper ValidatiEPSS 0.1%CVE-2026-63374CRITICALAnyIO: TLSStream IDNA 2003 host name encoding enables potential TLS certificate spoofingEPSS —