Weaknesses of type CWE-522

691 results

Credenciais insuficientemente protegidas

Quando credenciais (senhas, tokens, chaves) são armazenadas, transmitidas ou processadas sem criptografia ou com proteção inadequada, ficam expostas a roubo. Um atacante que acessa o código-fonte, logs, memória ou intercepta a comunicação consegue recuperar as credenciais e usá-las para comprometer sistemas.

Example

Guardar senha em plain text no arquivo de configuração, enviar token em URL de GET em vez de POST/body criptografado, ou exibir credenciais completas em log de erro são exemplos clássicos. Se a chave de API está no repositório Git ou a senha no console, qualquer pessoa com acesso ao código a recupera.

How to mitigate

Nunca armazene credenciais em plain text — use variáveis de ambiente, secret managers (Vault, AWS Secrets Manager) ou bases de dados com criptografia. Na transmissão, force HTTPS/TLS. Em logs e mensagens de erro, mascare ou remova dados sensíveis. Implemente rotação de credenciais e use autenticação multi-fator quando possível.

CVE-2026-17643HIGHIBM Financial Transaction Manager (FTM) is Impacted by Multiple VulnerabilitiesEPSS 0.1%CVE-2026-18124MEDIUMIBM Financial Transaction Manager (FTM) is Impacted by Multiple VulnerabilitiesEPSS 0.1%CVE-2025-67860LOWNeuVector scanner insecurely handles passwords as command argumentsEPSS 0.1%CVE-2025-64122HIGHNuvation Energy Multi-Stack Controller Private Key Stored on DeviceEPSS 0.1%CVE-2021-3789MEDIUMAn information disclosure vulnerability was reported in some Motorola-branded Binatone Hubble Cameras that could allow an attacker with physEPSS 0.1%CVE-2025-5922MEDIUMRetrievable password hash protecting TSplus admin consoleEPSS 0.1%CVE-2025-35054MEDIUMNewforma Info Exchange (NIX) insufficiently protected credentialsEPSS 0.1%CVE-2025-54422MEDIUMSandboxie exposes encrypted sandbox key during password changeEPSS 0.1%CVE-2025-57806MEDIUMLocal Deep Research's API keys are stored in plain textEPSS 0.1%CVE-2026-92680MEDIUMAraxis Merge insufficiently protected credentialsEPSS —CVE-2026-94611HIGHauthentik: Stored credentials are readable with view permission aloneEPSS —