Weaknesses of type CWE-612

11 results

Autorização inadequada de índices com informações sensíveis

Ocorre quando um índice de busca ou banco de dados expõe dados sensíveis sem verificar adequadamente as permissões do usuário. O atacante consegue recuperar informações confidenciais (senhas, emails, dados pessoais) simplesmente consultando um índice que deveria estar protegido ou filtrado por controle de acesso.

Example

Um sistema de e-commerce indexa todos os pedidos em um mecanismo de busca interno, mas não filtra os resultados por ID de cliente. Um usuário autenticado consegue buscar pedidos de outros clientes, incluindo endereços e informações de pagamento, porque o índice não valida permissões antes de retornar os resultados.

How to mitigate

Implemente controle de acesso no nível do índice: valide as permissões do usuário antes de qualquer consulta, filtro os resultados baseado no contexto do usuário autenticado, e nunca permita que dados sensíveis fiquem indexáveis sem proteção. Revise regularmente quais dados estão indexados e se o controle de acesso está sendo respeitado.

CVE-2022-35980HIGHOpenSearch vulnerable to Improper Authorization of Index Containing Sensitive InformationEPSS 1.1%CVE-2024-49071MEDIUMWindows Defender Information Disclosure VulnerabilityEPSS 1.1%CVE-2024-25635HIGHIDOR Vulnerability: Allowing Organization Owner to view the other Organizations API KEY and USERSEPSS 0.7%CVE-2023-4560MEDIUMImproper Authorization of Index Containing Sensitive Information in omeka/omeka-sEPSS 0.6%CVE-2022-22565MEDIUMDell PowerScale OneFS, versions 9.0.0-9.3.0, contain an improper authorization of index containing sensitive information. An authenticated aEPSS 0.5%CVE-2022-41918MEDIUMIssue with fine-grained access control of indices backing data streamsEPSS 0.4%CVE-2025-57756MEDIUMContao discloses sensitive information in the front end search indexEPSS 0.3%CVE-2019-25605HIGHEquityPandit 1.0 Insecure Logging Information DisclosureEPSS 0.3%CVE-2025-3654MEDIUMPetlibro Smart Pet Feeder Platform through 1.7.31 Information Disclosure via API endpointEPSS 0.2%CVE-2025-3653MEDIUMPetlibro Smart Pet Feeder through 1.7.31 Platform Improper Access Control via API endpointEPSS 0.2%CVE-2025-3660MEDIUMPetlibro Smart Pet Feeder Platform through 1.7.31 Broken Access Control via API endpointEPSS 0.2%