Weaknesses of type CWE-921

9 results

Armazenamento de dados sensíveis sem controle de acesso

Ocorre quando informações sensíveis (senhas, tokens, chaves, dados pessoais) são armazenadas em um mecanismo que não implementa controle de acesso adequado. Qualquer pessoa ou processo com acesso ao local de armazenamento consegue ler os dados, comprometendo confidencialidade.

Example

Um aplicativo grava credenciais de API em um arquivo de configuração legível por qualquer usuário do sistema, ou armazena tokens de sessão em cache compartilhado sem proteção, permitindo que processos não autorizados extraiam essas informações.

How to mitigate

Implemente controle de acesso baseado em permissões (ACL, RBAC) no local de armazenamento, criptografe dados sensíveis em repouso, use secretarias de senhas (vaults), e nunca armazene credenciais em texto plano em arquivos, logs ou cache acessíveis.

CVE-2023-2665HIGHStorage of Sensitive Data in a Mechanism without Access Control in francoisjacquet/rosariosisEPSS 0.6%CVE-2025-30016CRITICALAuthentication Bypass Vulnerability in SAP Financial ConsolidationEPSS 0.6%CVE-2023-41965HIGHSocomec MOD3GP-SY-120K Insecure Storage of Sensitive InformationEPSS 0.5%CVE-2024-9334HIGHInformation Disclosure in E-Kent's Pallium Vehicle TrackingEPSS 0.4%CVE-2021-27456LOWPhilips Gemini PET/CT Storage of Sensitive Data in a Mechanism Without Access ControlEPSS 0.2%CVE-2024-5206MEDIUMSensitive Data Leakage in sklearn.feature_extraction.text.TfidfVectorizer in scikit-learn/scikit-learnEPSS 0.2%CVE-2025-24870MEDIUMInsecure Key & Secret Management vulnerability in SAP GUI for WindowsEPSS 0.2%CVE-2025-24843MEDIUMDario Health USB-C Blood Glucose Monitoring System Starter Kit Android Application Storage of Sensitive Data in a Mechanism without Access ControlEPSS 0.1%CVE-2023-41818MEDIUM An improper use of the SD card for sensitive data vulnerability was reported in the Motorola Device Help application that could allow a locEPSS 0.1%