Fallos del tipo CWE-1188

264 resultados

Padrão inseguro não alterado pelo administrador

A aplicação é entregue com configurações padrão fracas (senhas genéricas, portas abertas, debug ativo) que *deveriam* ser alteradas durante a instalação ou pós-deployement, mas muitas vezes não são. O atacante explora essas configurações padrão conhecidas para ganhar acesso ou comprometer a aplicação sem precisar quebrar nenhuma segurança real.

Ejemplo

Um NAS é instalado com senha padrão 'admin:admin' que o fabricante documenta como 'por favor mude na primeira inicialização'. Muitos usuários nunca fazem isso, e o atacante usa essa credencial padrão para acessar centenas de dispositivos. Outro caso: aplicação web deixa console de debug ativado por padrão em produção, expondo informações sensíveis.

Cómo mitigar

Força o usuário a alterar configurações críticas (senha, chaves de API) durante o primeiro acesso, bloqueando a continuidade até que sejam mudadas. Em produção, desative completamente recursos de debug e funcionalidades administrativas por padrão; exija ativação explícita com autenticação forte.

CVE-2026-55708LOWPrivacy/configuration issue when adding local data in views through 'unbound-control'EPSS 0.2%CVE-2022-48432MEDIUMIn JetBrains IntelliJ IDEA before 2023.1 the bundled version of Chromium wasn't sandboxed.EPSS 0.2%CVE-2026-71448MEDIUM: Insecure Default Initialization of Resource vulnerability in Johnson Controls EasyIO FS32 allows : Authentication Abuse. This issue affecEPSS 0.1%CVE-2025-59044MEDIUMHimmelblau vulnerable to GID collision via group name-derived mapping (privilege escalation)EPSS 0.1%CVE-2026-89105MEDIUMImproper Authentication in HybridTokenAuthenticator of SAP/cloud-security-services-integration-libraryEPSS 0.1%CVE-2026-110952MEDIUMApache Kafka: Broker does not enforce JWT issuer and audience validation for SASL/OAUTHBEARER by defaultEPSS 0.1%CVE-2026-36612MEDIUMMercusys AC12G (EU) V1 with firmware AC12G(EU)_V1_200909 enables WPS 2.0 by default with a weak lockout policy (60-second lockout after 10 aEPSS 0.1%CVE-2026-33586MEDIUMAuthenticated SMTP Sender Address ForgeryEPSS 0.1%CVE-2024-9949MEDIUMDenial of Service in Forescout SecureConnectorEPSS 0.1%CVE-2026-36616MEDIUMMercusys AC12G (EU) V1 with firmware AC12G(EU)_V1_200909 contains hardcoded WiFi driver credentials including a RADIUS shared secret, WPS teEPSS 0.1%CVE-2024-34063LOWDegraded secret zeroization capabilities in vodozemacEPSS 0.1%CVE-2026-33921MEDIUMNpcap driver installed without administrator-only access restriction on Windows in Arc before v2.7.0EPSS 0.1%CVE-2025-48621HIGHIn DefaultTransitionHandler.java, there is a possible way to enable a tapjacking attack due to a insecure default. This could lead to local EPSS 0.1%CVE-2026-116247HIGHpgAdmin 4: libpq uses the pgAdmin service account's own password file and client certificateEPSS 0.1%CVE-2025-32330MEDIUMIn generateRandomPassword of LocalBluetoothLeBroadcast.java, there is a possible way to intercept the Auracast audio stream due to an insecuEPSS 0.1%CVE-2026-109569CRITICALsandboxed.sh through 1.3.0 Container Escape via nsenter Missing Root NamespaceEPSS 0.1%CVE-2026-27662HIGHAffected devices do not properly restrict access to the web browser via the Control Panel when no corresponding security mechanisms are in pEPSS 0.1%CVE-2022-20466MEDIUMIn applyKeyguardFlags of NotificationShadeWindowControllerImpl.java, there is a possible way to observe the user's password on a secondary dEPSS 0.1%CVE-2026-78013MEDIUMDell Secure Connect Gateway (SCG) Policy Manager, versions prior to 5.34.00.16, contains an Initialization of a Resource with an Insecure DeEPSS 0.1%CVE-2026-78018MEDIUMDell Secure Connect Gateway (SCG) Policy Manager, versions prior to 5.34.00.16, contains an Initialization of a Resource with an Insecure DeEPSS 0.1%