Weaknesses of type CWE-297

92 results

Validação inadequada de certificados SSL/TLS

A aplicação não valida corretamente o certificado SSL/TLS do servidor remoto, aceitando certificados expirados, auto-assinados ou emitidos para outro domínio. Isso permite ataques man-in-the-middle onde um atacante intercepta a comunicação criptografada e se passa pelo servidor legítimo, expondo dados sensíveis como credenciais e informações de negócio.

Example

Uma app mobile conecta a uma API via HTTPS, mas o código ignora erros de validação de certificado ou desabilita verificações de hostname. Um atacante na mesma rede WiFi intercepta a requisição com um certificado falso e captura tokens de autenticação ou dados pessoais em trânsito.

How to mitigate

Implemente validação rigorosa: verificar data de validade, cadeia de certificados raiz confiável e correspondência exata de hostname. Em Java, use SSLContext com truststore correto; em Python, ative verificação SSL no requests; nunca use 'verify=False' ou equivalentes em produção. Realize auditorias de código focando em bibliotecas HTTP e sockets.

CVE-2026-62243HIGHNetty 4.2.0 through 4.2.16 TLS Hostname Verification BypassEPSS 0.2%CVE-2024-12925HIGHHost Header Injection in Akinsoft's QR MenuEPSS 0.2%CVE-2026-12162MEDIUMImproper host validation in the social login autofill feature in Devolutions Remote Desktop Manager 2026.2.8 allows an attacker to disclosEPSS 0.1%CVE-2026-79943MEDIUMDell SCG 5.0 Appliance versions prior to 5.36.00.16 and Dell SCG 5.0 Application versions prior to 5.36.00.00, contains an Improper ValidatiEPSS 0.1%CVE-2026-115758HIGHSumatraPDF: TLS hostname validation disabled in `HttpGet()`EPSS 0.1%CVE-2026-85974HIGHImproper TLS hostname verification in Progress MarkLogic ServerEPSS 0.1%CVE-2026-107660MEDIUMFFmpeg before 8.1.3 and 9.x before 9.0.2 mbedTLS Hostname Verification Bypass for IP HostsEPSS 0.1%CVE-2026-44467HIGHClaude Desktop: SSH Host Key Verification Bypass Allows Man-in-the-Middle Attack on Remote SessionsEPSS 0.1%CVE-2025-4295MEDIUMHost Header Injection in HotelRunner's B2BEPSS 0.1%CVE-2025-25253MEDIUMAn Improper Validation of Certificate with Host Mismatch vulnerability [CWE-297] in FortiProxy version 7.6.1 and below, version 7.4.8 and beEPSS 0.1%CVE-2026-123848HIGHIn JetBrains IntelliJ IDEA before 2026.3 host name verification was missing for server TLS certificatesEPSS —CVE-2026-112339HIGHWazuh 3.9.0 before 4.14.9 Missing TLS Hostname Verification in fluent-forward ModuleEPSS —