Weaknesses of type CWE-372

9 results

Distinção Incompleta de Estados Internos

Ocorre quando o software não diferencia adequadamente entre estados internos distintos, tratando situações diferentes como se fossem iguais. Isso permite que um atacante transicione o sistema para um estado não previsto ou contorne lógica de segurança explorando essa confusão de estados.

Example

Um servidor de autenticação que não diferencia entre 'usuário logado com privilégios completos' e 'usuário em processo de autenticação multifator' pode permitir que alguém acesse recursos protegidos antes de completar a segunda autenticação, porque a lógica de autorização não verifica o estado exato.

How to mitigate

Implemente máquinas de estado explícitas e rigorosas, validando sempre o estado atual antes de executar operações sensíveis. Use enums ou constantes nomeadas para representar cada estado permitido e rejeite transições inválidas.

CVE-2021-25735MEDIUMValidating Admission Webhook does not observe some previous fieldsEPSS 5.5%CVE-2023-31127CRITICALDMTF-2023-0001: SPDM mutual authentication bypassEPSS 0.9%CVE-2020-27222—In Eclipse Californium version 2.3.0 to 2.6.0, the certificate based (x509 and RPK) DTLS handshakes accidentally fails, because the DTLS serEPSS 0.9%CVE-2024-22590CRITICALThe TLS engine in Kwik commit 745fd4e2 does not track the current state of the connection. This vulnerability can allow Client Hello messageEPSS 0.6%CVE-2023-4012HIGHIncomplete Internal State Distinction in ntpsecEPSS 0.4%CVE-2026-41388MEDIUMOpenClaw < 2026.3.31 - Configuration Rehydration via Empty-Array Revocation HandlingEPSS 0.3%CVE-2023-36834MEDIUMJunos OS: SRX 4600 and SRX 5000 Series: The receipt of specific genuine packets by SRXes configured for L2 transparency will cause a DoSEPSS 0.3%CVE-2026-41340MEDIUMOpenClaw < 2026.3.31 - Authentication Boundary Bypass via Telegram Legacy allowFrom MigrationEPSS 0.3%CVE-2026-41300MEDIUMOpenClaw < 2026.3.31 - Preservation of Attacker-Discovered Endpoints in Remote OnboardingEPSS 0.3%