Weaknesses of type CWE-538

106 results

Exposição de informações sensíveis em arquivos acessíveis externamente

A aplicação escreve dados sensíveis (credenciais, tokens, chaves) em arquivos ou diretórios que podem ser acessados por usuários não autorizados. Isso pode ocorrer em logs, caches, arquivos temporários ou diretórios web públicos, expondo informações críticas.

Example

Uma aplicação gera um relatório em PDF com dados de clientes e o salva na pasta /var/www/html (acessível pela web), ou registra tokens de autenticação em um arquivo de log legível por qualquer usuário do sistema.

How to mitigate

Restrinja permissões de arquivo (chmod 600 ou equivalente), nunca escreva dados sensíveis em diretórios públicos, use variáveis de ambiente ou gestores de secrets para credenciais, e implemente rotação/limpeza automática de logs que contenham informações confidenciais.

CVE-2026-118494HIGHJoomla Extension - jreviews.com - Secret configs cached in a web-accessible in JReviews 1.0.0-5.12.0, 6.0.0-6.6.9EPSS 0.5%CVE-2021-3709MEDIUMApport file permission bypass through emacs byte compilation errorsEPSS 0.5%CVE-2024-22045HIGHA vulnerability has been identified in SINEMA Remote Connect Client (All versions < V3.1 SP1). The product places sensitive information intoEPSS 0.4%CVE-2025-31550MEDIUMWordPress WP-LESS plugin <= 1.9.6 - Sensitive Data Exposure vulnerabilityEPSS 0.4%CVE-2026-12762MEDIUMInsertion of Sensitive Information into Externally-Accessible File in IBM Business Automation InsightsEPSS 0.4%CVE-2025-31558MEDIUMWordPress TailPress plugin <= 0.4.4 - Sensitive Data Exposure vulnerabilityEPSS 0.4%CVE-2026-7071MEDIUMCodeAstro Online Job Portal user-cvs file information disclosureEPSS 0.4%CVE-2025-27150MEDIUMTuleap dumps the Redis password into the generated troubleshooting archivesEPSS 0.4%CVE-2025-22773MEDIUMWordPress Htaccess File Editor <= 1.0.19 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2025-22306MEDIUMWordPress Link Whisper Free plugin <= 0.7.7 - Sensitive Data Exposure vulnerabilityEPSS 0.4%CVE-2012-4574MEDIUMPulp: red hat cloudforms: pulp in red hat cloudforms: information disclosure via world-readable configuration fileEPSS 0.4%CVE-2025-12059CRITICALImproper Access Control in Logo Software's Logo j-PlatformEPSS 0.4%CVE-2026-44828CRITICALQexo initialization endpoint can reset setup state and expose stored credentialsEPSS 0.4%CVE-2026-119199MEDIUMNuxt dev server exposes private runtime config through the Nitro dev bundleEPSS 0.4%CVE-2026-46617HIGHFission runtime pods automount the fission-fetcher service-account token into the user function container, granting function code namespace-wide secret / configmap readEPSS 0.3%CVE-2026-112027MEDIUMlight0011 cms Uploadify check-exists.php file_exists file information disclosureEPSS 0.3%CVE-2022-23508HIGHGitOps Run allows for Kubernetes workload injectionEPSS 0.3%CVE-2025-11891MEDIUMShelf Planner <= 2.8.1 - Unauthenticated Information Exposure via Log FilesEPSS 0.3%CVE-2026-108937MEDIUMcode-projects Online Ticket Reservation System medallion.sql file information disclosureEPSS 0.3%CVE-2026-10254MEDIUMSourceCodester Pet Grooming Management Software admin file information disclosureEPSS 0.3%