Weaknesses of type CWE-696

54 results

Ordem incorreta de operações de segurança

Ocorre quando o código executa operações em sequência errada, permitindo que uma ação de segurança seja contornada. Por exemplo, validar entrada *depois* de usá-la, ou verificar permissão *depois* de acessar o recurso. O impacto varia conforme o contexto, mas geralmente expõe a aplicação a falhas de autenticação, autorização ou integridade de dados.

Example

Um sistema que processa um arquivo enviado pelo usuário antes de verificar se ele é malicioso, ou que libera acesso a um recurso e só depois verifica se o usuário tinha permissão. Em ambos os casos, o dano já ocorreu antes da validação.

How to mitigate

Estabeleça uma ordem clara de operações: validação e verificação de segurança *sempre* vêm primeiro, antes de qualquer ação crítica. Use listas de verificação (checklists) no código, revise o fluxo com foco em dependências de segurança e implemente testes que forçam execução fora da ordem esperada para detectar essas falhas.

CVE-2024-35229MEDIUMZKsync Era evaluation order of Yul function argumentsEPSS 0.4%CVE-2025-55114MEDIUMBMC Control-M/Agent improper IP address filtering orderEPSS 0.4%CVE-2025-9904MEDIUMUnallocated memory access vulnerability in print processing of Generic Plus PCL6 Printer Driver / Generic Plus UFR II Printer Driver / GenerEPSS 0.4%CVE-2026-44600LOWTor before 0.4.9.7 mishandles accounting of the conflux out-of-order queue during the clearing of a queue, aka TROVE-2026-010.EPSS 0.4%CVE-2026-40583HIGHUltraDAG: SmartOp Vote Path Triggers Fatal Supply Invariant HaltEPSS 0.4%CVE-2026-68930MEDIUMRussh: Channel-scoped server callbacks can be reached without an open channelEPSS 0.4%CVE-2026-109162MEDIUMTYPO3 CMS - Security Misconfiguration in Form FrameworkEPSS 0.4%CVE-2026-41254MEDIUMLittle CMS (lcms2) through 2.18 has an integer overflow in CubeSize in cmslut.c because the overflow check is performed after the multiplicaEPSS 0.4%CVE-2024-30410MEDIUMJunos OS: EX4300 Series: Loopback filter not blocking traffic despite having discard term.EPSS 0.4%CVE-2024-30389MEDIUMJunos OS: EX4300 Series: Firewall filter not blocking egress trafficEPSS 0.4%CVE-2026-43002MEDIUMAn issue was discovered in OpenStack Horizon 25.6 and 25.7 before 25.7.3. There is a write operation to the session storage backend before aEPSS 0.4%CVE-2026-45033HIGHGitHub Copilot CLI: Nested Bare Repository Can Execute Arbitrary Commands via core.fsmonitorEPSS 0.4%CVE-2026-35386LOWIn OpenSSH before 10.3, command execution can occur via shell metacharacters in a username within a command line. This requires a scenario wEPSS 0.3%CVE-2026-82898LOWApache Wicket: A cross-origin listener invocation stopped by a login wall is replayed after the user signs inEPSS 0.3%CVE-2023-23576MEDIUM Incorrect behavior order in the Command Centre Server could allow privileged users to gain physical access to the site for longer than inteEPSS 0.3%CVE-2026-35636HIGHOpenClaw 2026.3.11 < 2026.3.25 - Session Isolation Bypass via sessionId ResolutionEPSS 0.3%CVE-2026-73446HIGHSecurity Advisory 0160EPSS 0.3%CVE-2025-20012MEDIUMIncorrect behavior order for some Intel(R) Core™ Ultra Processors may allow an unauthenticated user to potentially enable information discloEPSS 0.3%CVE-2026-35637MEDIUMOpenClaw < 2026.3.22 - Premature Cite Expansion Before Authorization in Channel and DMEPSS 0.3%CVE-2026-26287HIGHExternal Secrets Operator: label enforcement bypass in webhook generator enables secret exfiltrationEPSS 0.2%