Weaknesses of type CWE-672

64 results

Operação em recurso após expiração ou liberação

Ocorre quando o código tenta usar um recurso (conexão de banco, arquivo, memória, token de autenticação) depois que ele foi expirado, fechado ou liberado. O programa não valida se o recurso está ainda válido antes de operar sobre ele, causando comportamento indefinido, vazamento de dados ou corrupção de estado.

Example

Uma aplicação obtém um token JWT com tempo de expiração, armazena em cache, mas continua usando o mesmo token horas depois sem verificar se expirou. Um atacante consegue reutilizar o token para acessar a API como outro usuário, ou uma conexão de banco é fechada mas o código tenta executar uma query nela, gerando erro ou acesso indevido.

How to mitigate

Sempre valide a vigência/estado do recurso antes de usá-lo (verificar timestamp de expiração, testar se conexão está ativa, checar se handle ainda é válido). Implemente mecanismo de renovação automática ou rejeição explícita de recursos expirados no ponto de uso.

CVE-2026-55250HIGHMaravel-Framework Token Replay Vulnerability via Premature JWT Blacklist Eviction in Tagged CachesEPSS 0.6%CVE-2026-43585CRITICALOpenClaw < 2026.4.15 - Bearer Token Validation Bypass via Stale SecretRef ResolutionEPSS 0.5%CVE-2022-45292MEDIUMUser invites for Funkwhale v1.2.8 do not permanently expire after being used for signup and can be used again after an account has been deleEPSS 0.5%CVE-2026-23111HIGHnetfilter: nf_tables: fix inverted genmask check in nft_map_catchall_activate()EPSS 0.5%CVE-2026-31875HIGHParse Server MFA recovery codes not consumed after useEPSS 0.4%CVE-2025-2517LOWReference to Expired Domain Vulnerability in OpenText™ ArcSight Enterprise Security ManagerEPSS 0.4%CVE-2026-68481HIGHApache CXF: Revocation bypass in DefaultEncryptingOAuthDataProviderEPSS 0.4%CVE-2026-56314HIGHCapgo - Deleted Bundle Selection via Missing Deletion Filter in /updates EndpointEPSS 0.4%CVE-2022-27499LOWPremature release of resource during expected lifetime in the Intel(R) SGX SDK software may allow a privileged user to potentially enable inEPSS 0.4%CVE-2025-58149HIGHIncorrect removal of permissions on PCI device unplugEPSS 0.4%CVE-2025-55669HIGHBIG-IP HTTP/2 vulnerabilityEPSS 0.4%CVE-2026-79010MEDIUMOperation on a resource after expiration or release in Network in Google Chrome prior to 152.0.7977.65 allowed a remote attacker who had comEPSS 0.4%CVE-2025-10060MEDIUMMongoDB may be susceptible to Invariant Failure in Transactions due Upsert OperationEPSS 0.4%CVE-2024-25619LOWDestroying OAuth Applications doesn't notify Streaming of Access Tokens being destroyed in mastodonEPSS 0.4%CVE-2025-30351LOWSuspended Directus user can continue to use session token to access APIEPSS 0.4%CVE-2013-10075CRITICALApache::Session versions through 1.94 for Perl re-creates deleted sessionsEPSS 0.4%CVE-2026-52733MEDIUMZEBRA: Persistent on-disk corruption of Sapling/Orchard subtree roots after chain fork via pop_tipEPSS 0.3%CVE-2025-53901LOWWasmtime has host panic with `fd_renumber` WASIp1 functionEPSS 0.3%CVE-2024-4693MEDIUMQemu-kvm: virtio-pci: improper release of configure vector leads to guest triggerable crashEPSS 0.3%CVE-2026-42791MEDIUMOCSP responder certificate validity period not checked in public_keyEPSS 0.3%