Fallos del tipo CWE-1188

264 resultados

Padrão inseguro não alterado pelo administrador

A aplicação é entregue com configurações padrão fracas (senhas genéricas, portas abertas, debug ativo) que *deveriam* ser alteradas durante a instalação ou pós-deployement, mas muitas vezes não são. O atacante explora essas configurações padrão conhecidas para ganhar acesso ou comprometer a aplicação sem precisar quebrar nenhuma segurança real.

Ejemplo

Um NAS é instalado com senha padrão 'admin:admin' que o fabricante documenta como 'por favor mude na primeira inicialização'. Muitos usuários nunca fazem isso, e o atacante usa essa credencial padrão para acessar centenas de dispositivos. Outro caso: aplicação web deixa console de debug ativado por padrão em produção, expondo informações sensíveis.

Cómo mitigar

Força o usuário a alterar configurações críticas (senha, chaves de API) durante o primeiro acesso, bloqueando a continuidade até que sejam mudadas. Em produção, desative completamente recursos de debug e funcionalidades administrativas por padrão; exija ativação explícita com autenticação forte.

CVE-2026-65881HIGHJoomla Extension - joomdle.com - Insecure default configuration allows read/write user account access in Joomdle < 3.1.1EPSS 0.4%CVE-2026-53660HIGHOpenAM Insecure SSO Cookie InitializationEPSS 0.4%CVE-2026-9680MEDIUMMCP Server Exposure via Insecure Default Binding on alibabacloud-rds-openapi-mcp-serverEPSS 0.4%CVE-2026-49462MEDIUMnl.nl-portal:app has GraphiQL UI and GraphQL schema introspection enabled by defaultEPSS 0.4%CVE-2025-41672CRITICALWAGO: Vulnerability in WAGO Device SphereEPSS 0.4%CVE-2026-14765HIGHEpic Games Unreal Engine Insecure Default URL Scheme Allowance in LaunchURLEPSS 0.4%CVE-2025-36222HIGHIBM Fusion insecure default configurationEPSS 0.4%CVE-2018-25193HIGHMongoose Web Server 6.9 Denial of Service via Socket ConnectionEPSS 0.4%CVE-2018-25169HIGHAMPPS 2.7 Denial of Service via Malformed Socket ConnectionEPSS 0.4%CVE-2026-31818CRITICALBudibase: Server-Side Request Forgery via REST Connector with Empty Default BlacklistEPSS 0.4%CVE-2026-54067CRITICALSiYuan: Stored XSS to RCE via CSS-snippet <style> breakout in renderSnippet()EPSS 0.4%CVE-2026-1675MEDIUMAdvanced Country Blocker <= 2.3.1 - Unauthenticated Authorization Bypass via Insecure Default Secret KeyEPSS 0.4%CVE-2025-41713MEDIUMWAGO: Vulnerability in hardware switch circuitEPSS 0.4%CVE-2026-105744HIGHDocling: Arbitrary file read/write (and command execution when shell-escape is enabled) when rendering untrusted TikZ with the opt-in Tectonic engineEPSS 0.4%CVE-2026-54158CRITICALSiYuan: Stored XSS to RCE via attribute-view cell rendering in genAVValueHTML()EPSS 0.4%CVE-2026-24148HIGHNVIDIA Jetson for JetPack contains a vulnerability in the system initialization logic, where an unprivileged attacker could cause the initiaEPSS 0.4%CVE-2022-2196MEDIUMSpeculative execution attacks in KVM VMXEPSS 0.4%CVE-2026-100291CRITICALInitialization of a resource with an insecure default in Anjvision YSSD-RTMP-H5EPSS 0.4%CVE-2026-114618MEDIUMAuthlib: Default JWT bearer grant accepts assertions for the wrong audienceEPSS 0.4%CVE-2026-75062CRITICALEval Injection in google/langfun via default lf.query protocolEPSS 0.4%