Fallos del tipo CWE-1336

302 resultados

Divulgação de Informação

É quando a aplicação expõe dados sensíveis (senhas, tokens, chaves, informações pessoais) a quem não deveria ter acesso. Pode acontecer por erros de configuração, logs inadequados, respostas de erro verbosas ou falta de controle de acesso. O risco é que um atacante ou usuário não autorizado consegue informações que permitem escalar o ataque ou comprometer contas e sistemas.

Ejemplo

Um site de e-commerce que retorna mensagens de erro com stack trace completo contendo caminhos de arquivo e versões de bibliotecas; ou uma API que inclui tokens de sessão em URLs que ficam registradas em logs do servidor web visíveis a outros usuários.

Cómo mitigar

Implemente controle de acesso rigoroso em dados sensíveis, retorne mensagens de erro genéricas para usuários finais (mantendo logs detalhados apenas internamente), remova informações desnecessárias de respostas HTTP, e audite regularmente o que está sendo exposto em logs, comentários de código e configurações.

CVE-2026-46636HIGHTwig: Sandbox method allowlist bypass via `Markup` subclassEPSS 0.6%CVE-2026-13051CRITICALForm::Processor::Field::HtmlArea versions from 0.06 through 1.162360 for Perl allow attacker selected method dispatch and resource exhaustion via an HTML::Tidy diagnostic that validate passes to add_error as a Locale::Maketext templateEPSS 0.6%CVE-2026-34906CRITICALServer-Side Template Injection (SSTI) in Wirtualna UczelniaEPSS 0.6%CVE-2026-119085CRITICALTemplate injection in the publishing component of awslabs Virtual Engineering WorkbenchEPSS 0.6%CVE-2026-57853HIGHDataGerry < 3.3.0 SSTI via DocAPI Template RenderingEPSS 0.6%CVE-2026-71291HIGHBolt CMS Server-Side Template Injection via Unsandboxed allow_twig Field RenderingEPSS 0.5%CVE-2026-73858MEDIUMSolspace Freeform: Limited Twig template injection via submitted field valuesEPSS 0.5%CVE-2026-33154HIGHdynaconf Affected by Remote Code Execution (RCE) via Insecure Template Evaluation in @jinja ResolverEPSS 0.5%CVE-2026-59989CRITICALPhalcon Volt compiler `join` filter compile-time PHP code injection (SSTI lead to RCE)EPSS 0.5%CVE-2026-29207MEDIUMApache OFBiz: Low-Privilege SSTI Leading to RCE in the Content ComponentEPSS 0.5%CVE-2025-65602CRITICALA template injection vulnerability in the /vip/v1/file/save component of ChanCMS v3.3.4 allows attackers to execute arbitrary code via a craEPSS 0.5%CVE-2025-5325MEDIUMzhilink 智互联(深圳)科技有限公司 ADP Application Developer Platform 应用开发者平台 testService special elements used in a template engineEPSS 0.5%CVE-2024-58303HIGHFoF Pretty Mail 1.1.2 Server Side Template Injection via Email Template SettingsEPSS 0.5%CVE-2025-53909CRITICALmailcow: dockerized vulnerable to SSTI in Quota and Quarantine Notification TemplateEPSS 0.5%CVE-2026-44129HIGHServer-side template injectionEPSS 0.5%CVE-2024-46366HIGHA Client-side Template Injection (CSTI) vulnerability in Webkul Krayin CRM 1.3.0 allows remote attackers to execute arbitrary client-side teEPSS 0.5%CVE-2025-60355CRITICALzhangyd-c OneBlog v2.3.9 and before was vulnerable to SSTI (Server-Side Template Injection) via FreeMarker templates.EPSS 0.5%CVE-2025-65106HIGHLangChain Vulnerable to Template Injection via Attribute Access in Prompt TemplatesEPSS 0.5%CVE-2026-47690HIGHMeltanoHub vulnerable to command injection in the `test_dispatcher` GitHub Actions workflowEPSS 0.5%CVE-2024-56326MEDIUMJinja has a sandbox breakout through indirect reference to format methodEPSS 0.5%