Weaknesses of type CWE-841

91 results

Falta de Aplicação de Fluxo de Comportamento

Ocorre quando a aplicação não valida ou não força a ordem correta de operações que deveriam seguir um fluxo pré-definido. Um usuário pode pular etapas, executar ações fora da sequência esperada ou contornar regras de negócio, alterando o estado do sistema de forma indevida.

Example

Um sistema de compras que deveria exigir: (1) adicionar item ao carrinho, (2) informar endereço, (3) selecionar pagamento, (4) confirmar pedido. Se a aplicação não valida essas etapas no servidor, um atacante pode enviar uma requisição direto à etapa (4) sem passar pelas anteriores, criando pedidos sem endereço ou com valores manipulados.

How to mitigate

Implemente validação de estado no servidor: cada operação deve verificar se o usuário está na etapa correta antes de prosseguir. Use máquinas de estado (finite state machines) para modelar transições permitidas e rejeite requisições que violem o fluxo esperado. Nunca confie na ordem de execução do lado cliente.

CVE-2026-67279MEDIUMSSH Pre-Authentication Rekey State Bypass in MikroTik RouterOSEPSS 2.3%KEVCVE-2022-1667HIGHSecheron SEPCOS Control and Protection RelayEPSS 1.3%CVE-2026-70079HIGHWindows DNS Denial of Service VulnerabilityEPSS 1.3%CVE-2022-2105CRITICALSecheron SEPCOS Control and Protection RelayEPSS 1.1%CVE-2023-4181MEDIUMSourceCodester Free Hospital Management System for Small Practices Redirect behavioral workflowEPSS 1.1%CVE-2022-2102CRITICALSecheron SEPCOS Control and Protection RelayEPSS 0.9%CVE-2024-51738HIGHSunshine improperly enforces pairing protocol request orderEPSS 0.6%CVE-2025-55330MEDIUMWindows BitLocker Security Feature Bypass VulnerabilityEPSS 0.6%CVE-2025-55332MEDIUMWindows BitLocker Security Feature Bypass VulnerabilityEPSS 0.6%CVE-2025-48481MEDIUMFreeScout Has Business Logic ErrorsEPSS 0.6%CVE-2025-48476HIGHFreeScout Has Business Logic ErrorsEPSS 0.6%CVE-2024-37296MEDIUMAimeos HTML client vulnerable to digital products download without proper payment status checkEPSS 0.5%CVE-2025-58051MEDIUMNextcloud Tables app allowed to include local file via PhpSpreadsheet when importing a tableEPSS 0.5%CVE-2024-6128MEDIUMspa-cartcms Checkout Page checkout behavioral workflowEPSS 0.5%CVE-2025-55682MEDIUMWindows BitLocker Security Feature Bypass VulnerabilityEPSS 0.5%CVE-2025-55337MEDIUMWindows BitLocker Security Feature Bypass VulnerabilityEPSS 0.5%CVE-2025-48477HIGHFreeScout Has Business Logic ErrorsEPSS 0.5%CVE-2026-55763HIGHKlever-Go: Percentage-transfer royalty skips the source debit at exactly-100% splitsEPSS 0.5%CVE-2026-3130CRITICALImproper Enforcement of Behavioral Controls in Devolutions Server 2025.3.15 and earlier allows an authenticated attacker with the delete perEPSS 0.5%CVE-2026-78103MEDIUMDimension Log Server Configuration Lock Bypass VulnerabilityEPSS 0.5%