Fallos del tipo CWE-1428

2 resultados

Uso de HTTP em vez de HTTPS

A aplicação transmite dados sensíveis (credenciais, tokens, informações pessoais) via HTTP, um protocolo não criptografado. Qualquer ator na rede pode interceptar, ler e modificar essas informações em trânsito, comprometendo confidencialidade e integridade dos dados.

Ejemplo

Um formulário de login que envia usuário e senha via HTTP simples permite que alguém na mesma rede Wi-Fi capture as credenciais com ferramentas como Wireshark. Ou uma API que retorna tokens de autenticação sem HTTPS expõe a sessão do usuário a ataques man-in-the-middle.

Cómo mitigar

Enforce HTTPS em toda comunicação sensível: redirecionar HTTP para HTTPS, usar HSTS headers, validar certificados SSL/TLS e garantir que nenhuma rota de autenticação, transferência de dados pessoais ou operações críticas funcione sem criptografia de transporte.

CVE-2026-40677HIGHThe use of insecure HTTP transport within AMD optional tools could allow an attacker to conduct a man-in-the-middle attack, potentially leadEPSS 0.4%CVE-2026-10763HIGHPROMOD V is using insecure HTTP communication instead of HTTPS. The vulnerability is due to the lack of HTTPS support from 3rd party DigipedEPSS 0.4%