Weaknesses of type CWE-636

79 results

Fallback para estado menos seguro em caso de falha

É quando o software, ao enfrentar um erro ou falha, retrocede automaticamente para uma configuração de segurança mais fraca em vez de interromper a operação ou falhar de forma segura. Exemplo: ao não conseguir usar TLS 1.3, cai para SSL 3.0; ou quando falha a autenticação forte, permite login sem senha. O risco é que um atacante provoca intencionalmente a falha para forçar o sistema a usar proteções inadequadas.

Example

Um cliente VPN que não consegue estabelecer conexão com encriptação AES-256 automaticamente downgrade para DES (obsoleto e fraco). Um servidor web que, ao falhar a validação de certificado ECDSA, aceita conexões sem TLS. Um sistema de login que, se o servidor de autenticação multifator cair, permite acesso só com senha.

How to mitigate

Nunca faça fallback automático para algo menos seguro — interrompa a operação ou lance erro explícito. Implemente validação de segurança mínima obrigatória (nunca abaixe desta linha) e documente claramente quais são as configurações de segurança aceitáveis. Teste cenários de falha para garantir que o sistema falha seguro, não permissivo.

CVE-2026-40247HIGHfree5gc UDR improper path validation allows unauthenticated access to Traffic Influence SubscriptionsEPSS 0.5%CVE-2026-77866CRITICALSSRF protection bypass in safeurl via IPv6 addresses and unresolvable hostsEPSS 0.5%CVE-2024-8185HIGHVault Vulnerable to Denial of Service When Processing Raft Join RequestsEPSS 0.5%CVE-2026-44094HIGHFallback to second RAUC slot with default credentialsEPSS 0.5%CVE-2026-74048MEDIUMApache Tomcat: OpenSSL-FFM FIPS failure does not prevent start-upEPSS 0.4%CVE-2026-46482MEDIUMMyBB: Security Question insufficient validationEPSS 0.4%CVE-2026-70452CRITICALrsync 3.1.0 < 3.5.0 Access Control Bypass via DNS Resolution FailureEPSS 0.4%CVE-2026-54762MEDIUMTraefik Kubernetes Ingress NGINX provider fails open when auth-secret resolution failsEPSS 0.4%CVE-2026-40248HIGHfree5gc UDR improper path validation allows unauthenticated creation and modification of Traffic Influence SubscriptionsEPSS 0.4%CVE-2026-95848CRITICALMoquette fails open when configured authentication or authorization classes cannot loadEPSS 0.4%CVE-2026-92591HIGHCraft CMS 5.0.0 before 5.10.13 Environment Secret Exposure via InstallerEPSS 0.4%CVE-2026-108142CRITICALA vulnerability allowing an unauthenticated attacker to bypass authorization on the CDP Coordinator Service.EPSS 0.4%CVE-2026-61788HIGH@bytebase/dbhub's read-only mode does not prevent database writesEPSS 0.4%CVE-2026-61595HIGHdjust: Multi-tenant isolation fails open on the WebSocket/SSE path, disclosing other tenants' dataEPSS 0.4%CVE-2026-103510CRITICALAuthentication bypass via blank auth token in P4SearchEPSS 0.4%CVE-2026-95676HIGHAuthPoint Gateway Improper Authentication in LDAP Sync Allows First-Factor Authentication BypassEPSS 0.4%CVE-2026-86120MEDIUMAPITable through 1.13.0-beta.1 Fail-Open Authorization in the Fusion API Node Permission GuardEPSS 0.4%CVE-2025-41760MEDIUMPass filter with Empty TableEPSS 0.4%CVE-2025-41759MEDIUMUse of wildcard (“*” or “all”) in Block listEPSS 0.4%CVE-2026-100304MEDIUMTDuck survey form 6.0 Information Disclosure via Fail-Open Form Ownership CheckEPSS 0.4%