Weaknesses of type CWE-349

39 results

Aceitação de dados não confiáveis junto a dados confiáveis

Quando uma aplicação processa dados de múltiplas fontes, ela pode confundir ou misturar dados de origem não confiável (como entrada de usuário) com dados que deveriam ser confiáveis (como dados do sistema ou de bases autorizadas). Isso abre brechas para injeção, spoofing ou bypass de validações, porque o atacante consegue fazer seus dados maliciosos passarem pela guarda do sistema.

Example

Um servidor recebe uma requisição que combina um token de sessão legítimo (armazenado no servidor) com parâmetros de query fornecidos pelo usuário, sem separar claramente qual é confiável. O atacante manipula os parâmetros e o código, ao processar tudo junto, aplica a confiança do token a dados maliciosos do usuário.

How to mitigate

Mantenha dados confiáveis e não confiáveis em canais ou estruturas separadas durante todo o processamento. Valide e sanitize explicitamente cada entrada externa, nunca assuma que dados vindos de fora herdam a confiabilidade de dados internos. Use camadas de validação que garantam que só dados verificados avançam nos fluxos críticos.

CVE-2019-9535—iTerm2, up to and including version 3.3.5, with tmux integration is vulnerable to remote command executionEPSS 2.5%CVE-2026-32162HIGHWindows COM Elevation of Privilege VulnerabilityEPSS 2.0%CVE-2018-1131—Infinispan permits improper deserialization of trusted data via XML and JSON transcoders under certain server configurations. A user with auEPSS 1.3%CVE-2021-21374HIGHNimble fails to validate certificates due to insecure httpClient defaultsEPSS 1.0%CVE-2024-21094LOWVulnerability in the Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: HotspotEPSS 0.8%CVE-2025-40778HIGHCache poisoning attacks with unsolicited RRsEPSS 0.7%CVE-2025-48804MEDIUMWindows BitLocker Security Feature Bypass VulnerabilityEPSS 0.5%CVE-2026-41120CRITICALDell Wyse Management Suite, versions prior to WMS 5.5 HF1, contain an Acceptance of Extraneous Untrusted Data With Trusted Data vulnerabilitEPSS 0.5%CVE-2025-29816HIGHMicrosoft Word Security Feature Bypass VulnerabilityEPSS 0.4%CVE-2020-8023HIGHLocal privilege escalation from ldap to root when using OPENLDAP_CONFIG_BACKEND=ldap in openldap2EPSS 0.4%CVE-2025-29842HIGHUrlMon Security Feature Bypass VulnerabilityEPSS 0.4%CVE-2024-25638HIGHDNSJava DNSSEC BypassEPSS 0.4%CVE-2023-44317HIGHA vulnerability has been identified in RUGGEDCOM RM1224 LTE(4G) EU (6GK6108-4AM00-2BA2) (All versions < V7.2.2), RUGGEDCOM RM1224 LTE(4G) NAEPSS 0.4%CVE-2026-45602CRITICALWindows Dynamic Host Configuration Protocol (DHCP) Tampering VulnerabilityEPSS 0.4%CVE-2025-27415HIGHNuxt allows DOS via cache poisoning with payload rendering responseEPSS 0.4%CVE-2020-10751MEDIUMA flaw was found in the Linux kernels SELinux LSM hook implementation before version 5.7, where it incorrectly assumed that an skb would onlEPSS 0.3%CVE-2026-1642HIGHNGINX vulnerabilityEPSS 0.3%CVE-2023-51655MEDIUMIn JetBrains IntelliJ IDEA before 2023.3.2 code execution was possible in Untrusted Project mode via a malicious plugin repository specifiedEPSS 0.3%CVE-2025-11411MEDIUMPossible domain hijacking via promiscuous records in the authority sectionEPSS 0.3%CVE-2024-42483MEDIUMESP-NOW Replay Attacks VulnerabilityEPSS 0.3%