Weaknesses of type CWE-393

15 results

Retorno de código de status incorreto

A aplicação retorna um código HTTP ou de status que não corresponde de fato ao resultado da operação realizada. Por exemplo, retornar 200 (sucesso) quando ocorreu um erro, ou 404 quando o recurso existe. Isso confunde clientes, proxies e sistemas de monitoramento, mascarando falhas reais e comprometendo a confiabilidade da comunicação.

Example

Um endpoint de login retorna HTTP 200 com um corpo vazio quando as credenciais estão inválidas, em vez de retornar 401 (Unauthorized). Um cliente automatizado interpreta isso como sucesso e continua processando, ou um WAF não consegue detectar tentativas de força bruta porque o padrão de erro fica invisível.

How to mitigate

Mapear explicitamente cada caminho de execução para seu código de status HTTP correto: 2xx para sucesso, 4xx para erros do cliente (inclusive validação, autenticação, autorização), 5xx para falhas do servidor. Testar cenários de erro com testes automatizados que validam tanto o status quanto o corpo da resposta.

CVE-2023-37897HIGHServer-side Template Injection (SSTI) in gravEPSS 2.8%CVE-2025-5987HIGHLibssh: invalid return code for chacha20 poly1305 with openssl backendEPSS 1.7%CVE-2020-5401MEDIUMCloud Foundry GoRouter is vulnerable to cache poisoningEPSS 1.0%CVE-2024-49117HIGHWindows Hyper-V Remote Code Execution VulnerabilityEPSS 1.0%CVE-2026-55958HIGHRenesas TSIP TLS 1.3 transcript buffer out-of-bounds write in tsip_StoreMessageEPSS 0.4%CVE-2025-32414MEDIUMIn libxml2 before 2.13.8 and 2.14.x before 2.14.2, out-of-bounds memory access can occur in the Python API (Python bindings) because of an iEPSS 0.4%CVE-2026-85483MEDIUMApache Thrift: c_glib TZlibTransport reports a full read after a premature stream endEPSS 0.3%CVE-2026-42246HIGHnet-imap vulnerable to STARTTLS stripping via invalid response timingEPSS 0.3%CVE-2026-92821MEDIUMSssd: sssd: access control bypass via premature ldap access rule evaluationEPSS 0.3%CVE-2026-9058CRITICALImproper Certificate Verification in Szafir SDKEPSS 0.3%CVE-2026-92834MEDIUMApache Thrift: C++ WebSocket server transport does not read a full request lengthEPSS 0.3%CVE-2025-24531MEDIUMIn OpenSC pam_pkcs11 before 0.6.13, pam_sm_authenticate() wrongly returns PAM_IGNORE in many error situations (such as an error triggered byEPSS 0.2%CVE-2026-97381CRITICALLegacy Update ActiveX control accepts unauthorized hosting originsEPSS 0.2%CVE-2026-85087MEDIUMApache Thrift: Python ≥3.12 host-name check silently becomes a no-opEPSS 0.2%CVE-2026-53092HIGHbpf: Fix linked reg delta tracking when src_reg == dst_regEPSS 0.1%