Weaknesses of type CWE-349

54 results

Aceitação de dados não confiáveis junto a dados confiáveis

Quando uma aplicação processa dados de múltiplas fontes, ela pode confundir ou misturar dados de origem não confiável (como entrada de usuário) com dados que deveriam ser confiáveis (como dados do sistema ou de bases autorizadas). Isso abre brechas para injeção, spoofing ou bypass de validações, porque o atacante consegue fazer seus dados maliciosos passarem pela guarda do sistema.

Example

Um servidor recebe uma requisição que combina um token de sessão legítimo (armazenado no servidor) com parâmetros de query fornecidos pelo usuário, sem separar claramente qual é confiável. O atacante manipula os parâmetros e o código, ao processar tudo junto, aplica a confiança do token a dados maliciosos do usuário.

How to mitigate

Mantenha dados confiáveis e não confiáveis em canais ou estruturas separadas durante todo o processamento. Valide e sanitize explicitamente cada entrada externa, nunca assuma que dados vindos de fora herdam a confiabilidade de dados internos. Use camadas de validação que garantam que só dados verificados avançam nos fluxos críticos.

CVE-2026-54047CRITICALLaci Synchroni Backend Vulnerable to Account Takeover / User Impersonation via Client-Side Configuration ManipulationEPSS 0.3%CVE-2024-42483MEDIUMESP-NOW Replay Attacks VulnerabilityEPSS 0.3%CVE-2026-44572LOWNext.js: Middleware / Proxy redirects can be cache-poisonedEPSS 0.3%CVE-2024-41924HIGHAcceptance of extraneous untrusted data with trusted data vulnerability exists in EC-CUBE 4 series. If this vulnerability is exploited, an aEPSS 0.3%CVE-2026-42960MEDIUMPossible cache poisoning via promiscuous records for the authority sectionEPSS 0.3%CVE-2026-112256CRITICALLogon bypass (trust of attacker-controlled completed-methods list)EPSS 0.2%CVE-2026-19033MEDIUMUnauthenticated IXFR deltas are applied to the live zone before TSIG verificationEPSS 0.2%CVE-2025-11703MEDIUMWP Go Maps (formerly WP Google Maps) <= 9.0.48 - Unauthenticated Cache PoisoningEPSS 0.2%CVE-2026-117656CRITICALUnverified Sign in with Apple callback parameter can override verified ID token claimsEPSS 0.2%CVE-2024-34083MEDIUMSTARTTLS unencrypted commands injectionEPSS 0.2%CVE-2025-40776HIGHBirthday Attack against Resolvers supporting ECSEPSS 0.2%CVE-2025-5994HIGHCache poisoning via the ECS-enabled Rebirthday AttackEPSS 0.2%CVE-2026-15387MEDIUMAcceptance of Extraneous Untrusted Data With Trusted Data in GitLabEPSS 0.2%CVE-2026-78301MEDIUMOut-of-zone database nodes can become authoritative zone cutsEPSS 0.2%CVE-2025-20255MEDIUMA vulnerability in client join services of Cisco Webex Meetings could allow an unauthenticated, remote attacker to manipulate cached HTTP reEPSS 0.2%CVE-2026-102527MEDIUMNuxt OG Image cache poisoning through derivable cache keys on unsigned dynamic image routesEPSS 0.2%CVE-2025-1680NONEAn acceptance of extraneous untrusted data with trusted data vulnerability has been identified in Moxa’s Ethernet switches, which allows attEPSS 0.2%CVE-2025-46339MEDIUMFreshRSS vulnerable to favicon cache poisoning via proxyEPSS 0.2%CVE-2026-54625MEDIUMdjango CMS: Page cache ignores plugin-declared Vary headers (disclosure & poisoning)EPSS 0.2%CVE-2026-48100HIGHPayy: agg_agg trailing message slots are unconstrained and allow forged burn messagesEPSS 0.2%