Weaknesses of type CWE-349

54 results

Aceitação de dados não confiáveis junto a dados confiáveis

Quando uma aplicação processa dados de múltiplas fontes, ela pode confundir ou misturar dados de origem não confiável (como entrada de usuário) com dados que deveriam ser confiáveis (como dados do sistema ou de bases autorizadas). Isso abre brechas para injeção, spoofing ou bypass de validações, porque o atacante consegue fazer seus dados maliciosos passarem pela guarda do sistema.

Example

Um servidor recebe uma requisição que combina um token de sessão legítimo (armazenado no servidor) com parâmetros de query fornecidos pelo usuário, sem separar claramente qual é confiável. O atacante manipula os parâmetros e o código, ao processar tudo junto, aplica a confiança do token a dados maliciosos do usuário.

How to mitigate

Mantenha dados confiáveis e não confiáveis em canais ou estruturas separadas durante todo o processamento. Valide e sanitize explicitamente cada entrada externa, nunca assuma que dados vindos de fora herdam a confiabilidade de dados internos. Use camadas de validação que garantam que só dados verificados avançam nos fluxos críticos.

CVE-2026-50252MEDIUMPossible cache poisoning attack by mapping source port population per threadEPSS 0.2%CVE-2026-59263LOWApache OpenOffice: Carefully crafted documents could display different data when opened with different programs, instead of being reported as corrupt.EPSS 0.2%CVE-2026-74916MEDIUMWP Fastest Cache 0.8.7.7 - 1.5.0 - Unauthenticated Cache Poisoning via Unkeyed Tracking ParametersEPSS 0.2%CVE-2026-33612HIGHZoneToCache can poison the cacheEPSS 0.1%CVE-2024-53848HIGHcheck-jsonschema default caching for remote schemas allows for cache confusionEPSS 0.1%CVE-2026-35641HIGHOpenClaw < 2026.3.24 - Arbitrary Code Execution via .npmrc in Local Plugin/Hook InstallationEPSS 0.1%CVE-2026-95985HIGHKiro IDE Allows Agentic Writes to Global Configurations While Working in Untrusted WorkspacesEPSS 0.1%CVE-2023-3749HIGHVideoEdge configEPSS 0.1%CVE-2024-52555MEDIUMIn JetBrains WebStorm before 2024.3 code execution in Untrusted Project mode was possible via type definitions installer scriptEPSS 0.1%CVE-2025-68269MEDIUMIn JetBrains IntelliJ IDEA before 2025.3 missing confirmation allowed opening of untrusted remote projects over SSHEPSS 0.1%CVE-2026-100755MEDIUMAcceptance of Extraneous Untrusted Data With Trusted Data in GitLabEPSS 0.1%CVE-2026-46342LOWNuxt: `__nuxt_island` endpoint does not bind responses to request props, enabling shared-cache poisoningEPSS 0.1%CVE-2026-62364LOWwlc may disclose API tokens to project-configured URLsEPSS 0.1%CVE-2026-123653MEDIUMesengine DeepSeek-Reasonix doc.go discoverDocs llm prompting inputEPSS —