Weaknesses of type CWE-475

15 results

Comportamento indefinido por entrada inválida em API

Ocorre quando uma API não valida ou não trata corretamente entradas fora de seus requisitos especificados, deixando o comportamento do programa indefinido (pode crashear, corromper dados, executar código arbitrário). É perigoso porque o atacante explora a falta de contrato claro entre quem chama e a função.

Example

Uma função C que aceita um ponteiro sem verificar se é NULL, ou uma API web que não valida o tipo de dado recebido (espera inteiro, recebe string) e tenta processar direto — podem causar exceções não tratadas ou leitura de memória inválida.

How to mitigate

Sempre validar entrada na fronteira da API (tipo, tamanho, range); documentar contrato claro (pré e pós-condições); usar assertion ou exception para entrada inválida; em linguagens tipadas, fazer uso do type system para forçar validação em compile-time.

CVE-2020-7925HIGHDenial of Service when processing malformed Role namesEPSS 1.7%CVE-2025-47865HIGHA Local File Inclusion vulnerability in a Trend Micro Apex Central widget below version 8.0.6955 could allow an attacker to gain remote codeEPSS 1.6%CVE-2026-42009HIGHGnutls: gnutls: denial of service via dtls packet reordering vulnerabilityEPSS 1.3%CVE-2024-20380HIGHClamAV HTML Parser Denial of Service VulnerabilityEPSS 1.1%CVE-2023-2253MEDIUMA flaw was found in the `/v2/_catalog` endpoint in distribution/distribution, which accepts a parameter to control the maximum number of recEPSS 0.9%CVE-2023-4874MEDIUMUndefined Behavior for Input to API in MuttEPSS 0.7%CVE-2024-10569HIGHZip Bomb Vulnerability in gradio-app/gradioEPSS 0.6%CVE-2023-4875LOWUndefined Behavior for Input to API in MuttEPSS 0.5%CVE-2024-3099MEDIUMDenial of Service and Data Model Poisoning via URL Encoding in mlflow/mlflowEPSS 0.4%CVE-2023-52533MEDIUMIn modem-ps-nas-ngmm, there is a possible undefined behavior due to incorrect error handling. This could lead to remote information disclosuEPSS 0.4%CVE-2022-29207MEDIUMUndefined behavior when users supply invalid resource handles in TensorFlowEPSS 0.3%CVE-2026-8391MEDIUMOther issue in the JavaScript Engine componentEPSS 0.3%CVE-2026-34379HIGHOpenEXR has a misaligned write in LossyDctDecoder_execute leading to undefined behavior (DWA/DWAB decompression)EPSS 0.3%CVE-2025-47866MEDIUMAn unrestricted file upload vulnerability in a Trend Micro Apex Central widget below version 8.0.6955 could allow an attacker to upload arbiEPSS 0.2%CVE-2026-21690MEDIUMiccDEV has Type Confusion in CIccTagXmlTagData::ToXml()EPSS 0.2%