Fallos del tipo CWE-117

135 resultados

Injeção em logs (Log Injection)

O software escreve dados do usuário ou de fontes externas diretamente nos logs sem sanitização, permitindo que um atacante injete mensagens falsas, quebre a estrutura do log ou esconda evidências. Isso compromete a auditoria, facilita ataques de negação de serviço e pode levar a falsificação de registros de segurança.

Ejemplo

Um aplicativo web registra logins assim: `log.info("Usuário: " + username + " realizou login")`. Um atacante cria uma conta chamada `admin%0aUSUÁRIO AUTORIZADO: admin` e faz login, injetando uma linha fake no log que simula uma ação de administrador que nunca ocorreu.

Cómo mitigar

Sanitize sempre entradas de usuário antes de registrar (remova quebras de linha, caracteres de controle), use estrutura de logging estruturada (JSON, key-value) em vez de concatenação, e valide/filtre dados na origem. Implemente logs imutáveis ou com assinatura criptográfica para auditoria sensível.

CVE-2023-3997HIGHUnauthenticated Log Injection In Splunk SOAREPSS 0.3%CVE-2026-9736MEDIUMVulnerabilities exists in IBM Netezza SoftwareEPSS 0.3%CVE-2026-63442HIGHOPNsense: Log Forgery via Login Username CRLF in WebGUI Authentication → Pf Table IP BlockingEPSS 0.3%CVE-2026-6327MEDIUMMultiple Vulnerabilities in IBM Concert SoftwareEPSS 0.3%CVE-2024-56473MEDIUMIBM Aspera Shares Data ManipulationEPSS 0.3%CVE-2024-49355MEDIUMIBM OpenPages log manipulationEPSS 0.3%CVE-2026-16189MEDIUMIBM WebSphere Application Server prior to 9.0.5.29 and 8.5.5.31 are affected by multiple vulnerabilitiesEPSS 0.3%CVE-2025-0754MEDIUMEnvoyproxy: openshift service mesh 2.6.3 and 2.5.6 envoy header handling allows log injection and potential spoofingEPSS 0.3%CVE-2024-52891MEDIUMIBM Concert Software log manipulationEPSS 0.3%CVE-2025-54389MEDIUMAIDE improper output neutralization vulnerabilityEPSS 0.3%CVE-2026-9016MEDIUMDebug Log Manager <= 2.5.0 - Unauthenticated Improper Output Neutralization for Logs via log_js_errors AJAX ActionEPSS 0.3%CVE-2023-4571HIGHUnauthenticated Log Injection in Splunk IT Service Intelligence (ITSI)EPSS 0.3%CVE-2026-81696CRITICALopenssl_encrypt before 1.4.9 Terminal Injection via info CommandEPSS 0.3%CVE-2026-81694CRITICALopenssl-encrypt before 1.4.9 Output Injection via Unsanitized Filenames in verify-usb CommandEPSS 0.3%CVE-2026-81695CRITICALopenssl_encrypt before 1.4.9 Terminal Injection via key_idEPSS 0.3%CVE-2023-4065MEDIUMOperator: plaintext password in operator logEPSS 0.2%CVE-2026-1337LOWInsufficient escaping of unicode characters in query logEPSS 0.2%CVE-2026-15661MEDIUMIBM Concert Software Improper Output Neutralization for LogsEPSS 0.2%CVE-2023-1711MEDIUMA vulnerability exists in a FOXMAN-UN and UNEM logging component, it only affects systems that use remote authentication to the network elemEPSS 0.2%CVE-2025-36081MEDIUMMultiple Vulnerabilities in IBM Concert Software.EPSS 0.2%