Weaknesses of type CWE-829

317 results

Inclusão de funcionalidade de esfera de controle não confiável

Ocorre quando o software importa, carrega ou executa código, bibliotecas ou componentes originários de uma fonte não confiável ou não verificada. O atacante consegue injetar funcionalidade maliciosa que rodará com os mesmos privilégios da aplicação, comprometendo a integridade e segurança do sistema.

Example

Uma aplicação web baixa dinamicamente um plugin ou módulo de um servidor externo sem validar assinatura criptográfica ou integridade. Um atacante intercepta ou compromete o servidor de origem e substitui o arquivo legítimo por uma versão maliciosa; a aplicação carrega e executa o código comprometido automaticamente.

How to mitigate

Valide sempre a origem, autenticidade e integridade de componentes antes de carregá-los: use assinatura digital criptográfica, checksums verificados, HTTPS com pinning de certificado e, quando possível, evite carregamento dinâmico. Mantenha inventário atualizado de dependências e aplique patches regularmente.

CVE-2026-104811HIGHMitel MiVoice Office 400 Music on Hold WAV File Upload Code ExecutionEPSS 0.2%CVE-2026-22283HIGHDell PowerFlex Manager, version(s) prior to 5.1.0.1, contain(s) an Inclusion of Functionality from Untrusted Control Sphere vulnerability. AEPSS 0.2%CVE-2026-59176HIGHFunctype: MCP set_functype_version Package Alias RCE via Unsanitized pnpm install + Dynamic ImportEPSS 0.2%CVE-2025-68162LOWIn JetBrains TeamCity before 2025.11 maven embedder allowed loading extensions via project configurationEPSS 0.2%CVE-2026-40156HIGHPraisonAI Affected by Implicit Execution of Arbitrary Code via Automatic `tools.py` LoadingEPSS 0.2%CVE-2026-57860HIGHForgeCode Arbitrary Code Execution via Unvetted .mcp.json in Untrusted RepositoryEPSS 0.2%CVE-2026-22306CRITICALCritical flaw impacting OZOLS ERP's automatic update channelEPSS 0.2%CVE-2026-13751MEDIUMSnowflake CLI Server-Side Request Forgery via Arbitrary URL Fetch in !source/!loadEPSS 0.2%CVE-2024-52976MEDIUMElastic Agent Inclusion of Functionality from Untrusted Control SphereEPSS 0.2%CVE-2022-49038HIGHInclusion of functionality from untrusted control sphere vulnerability in OpenSSL DLL component in Synology Drive Client before 3.3.0-15082 EPSS 0.2%CVE-2026-52858HIGHVim: Arbitrary Code Execution via Python Omni-CompletionEPSS 0.2%CVE-2026-3991HIGHElevation of Privileges in Symantec Data Loss Prevention Windows EndpointEPSS 0.2%CVE-2026-104056CRITICALCVE-2026-104056EPSS 0.2%CVE-2026-54160HIGHNetwork UPS Tools: A PWN Request in make-dist workflow can execute PR-controlled code with write-scoped GITHUB_TOKENEPSS 0.2%CVE-2026-41253MEDIUMIn iTerm2 through 3.6.9, displaying a .txt file can cause code execution via DCS 2000p and OSC 135 data, if the working directory contains aEPSS 0.2%CVE-2026-4255HIGHDLL Injection Privilege EscalationEPSS 0.2%CVE-2026-26959HIGHADB Explorer Vulnerable to RCE via Insufficient Input ValidationEPSS 0.2%CVE-2026-82525MEDIUMExterro FTK Imager < 8.3 XXE via Report.xml XSLT ProcessingEPSS 0.2%CVE-2026-86063HIGHClaude Code: Plugin Hash Pin Bypass Allows Bypass of Hash PinningEPSS 0.2%CVE-2026-49449LOWJoplin: KaTeX `trust:true` enables URL-allowlist bypass leading to NTLMv2 credential theft via UNC path on WindowsEPSS 0.2%