Fallos del tipo CWE-1320

6 resultados

Proteção inadequada de mensagens de erro e alertas de saída

Ocorre quando o software expõe informações sensíveis (caminhos internos, versões de sistema, detalhes técnicos) em mensagens de erro ou sinais de alerta enviados para fora da aplicação. Um atacante coleta essas informações para mapear vulnerabilidades ou entender a arquitetura interna do sistema.

Ejemplo

Uma API retorna erro 500 com stack trace completo incluindo caminho absoluto do servidor (/var/www/app/database.php) e versão do framework. Ou um firmware expõe logs de debug em console serial que revelam configurações de rede. Um invasor usa isso para identificar versões vulneráveis e preparar exploração.

Cómo mitigar

Implemente logs estruturados internamente (registre tudo que precisa), mas retorne ao cliente apenas mensagens genéricas (ex: 'Erro ao processar solicitação'). Desabilite verbose mode, stack traces e debug output em ambientes de produção. Valide e sanitize qualquer mensagem antes de enviar para cliente, logs remotos ou interfaces externas.

CVE-2023-0839CRITICALImproper Error Handling in inSCADAEPSS 0.6%CVE-2023-5635HIGHUser Enumeration in ArslanSoft's Education PortalEPSS 0.6%CVE-2023-1014HIGHInformation disclosure in Vira-InvestingEPSS 0.5%CVE-2022-2319—A flaw was found in the Xorg-x11-server. An out-of-bounds access issue can occur in the ProcXkbSetGeometry function due to improper validatiEPSS 0.5%CVE-2023-5443HIGHUser Enumeration in EDM Informatic's E-Invoice SoftwareEPSS 0.5%CVE-2023-5570HIGHUser Enumeration in Inohom's Home Manager GatewayEPSS 0.5%