Weaknesses of type CWE-767

4 results

Acesso a variável privada crítica via método público

Ocorre quando uma classe expõe um método público que permite ler ou modificar uma variável privada sensível, contornando a encapsulação. O desenvolvedor marca a variável como privada mas oferece um getter/setter público sem validação ou controle adequado, permitindo que código externo manipule estados críticos da aplicação.

Example

Uma classe de usuário tem um atributo privado 'isAdmin' (booleano), mas expõe um setter público setIsAdmin() sem verificação. Um atacante chama esse método para elevar seus privilégios de usuário comum para administrador, comprometendo o controle de acesso da aplicação.

How to mitigate

Implemente validação rigorosa em getters/setters públicos que acessam dados sensíveis; considere usar padrões como imutabilidade ou cópias defensivas; revise regularmente quais variáveis privadas realmente precisam de acesso público e combine com verificações de autorização (ex: verificar papel do usuário antes de permitir mudanças).

CVE-2016-8380—The web server in Phoenix Contact ILC PLCs allows access to read and write PLC variables without authentication.EPSS 11.2%CVE-2020-26868HIGHARC Informatique PcVue Access to Critical Private Variable via Public MethodEPSS 2.1%CVE-2024-36463MEDIUMThe implementation of atob in "Zabbix JS" allows to create a string with arbitrary content and use it to access internal properties of objecEPSS 0.8%CVE-2024-34162MEDIUMThe web interface of the affected devices is designed to hide the LDAP credentials even for administrative users. But configuring LDAP autheEPSS 0.8%