Fallos del tipo CWE-177

12 resultados

Tratamento inadequado de codificação URL (codificação hexadecimal)

Ocorre quando a aplicação não valida ou interpreta corretamente caracteres codificados em hexadecimal dentro de URLs (como %2F para barra ou %00 para nulo). Um atacante pode contornar filtros de segurança ou injetar caracteres perigosos disfarçados em codificação hex, levando a bypass de validações, directory traversal ou injeção de comandos.

Ejemplo

Um WAF filtra requisições com '../' para bloquear directory traversal, mas não decodifica URLs antes de validar. Um atacante envia GET /files/%2e%2e%2fadmin (onde %2e = ponto e %2f = barra) e consegue acessar diretórios restritos porque a validação vê apenas %2e%2e%2f, passando despercebido.

Cómo mitigar

Normalize e decodifique completamente a URL antes de qualquer validação ou processamento de segurança. Implemente listas de bloqueio/permissão de caracteres após decodificação, não antes. Teste seus filtros contra múltiplas camadas de encoding (dupla codificação, variações de caso em hex).

CVE-2022-27780MEDIUMThe curl URL parser wrongly accepts percent-encoded URL separators like '/'when decoding the host name part of a URL, making it a *differentEPSS 2.3%CVE-2018-3718—serve node module suffers from Improper Handling of URL Encoding by permitting access to ignored files if a filename is URL encoded.EPSS 1.3%CVE-2022-3854MEDIUMA flaw was found in Ceph, relating to the URL processing on RGW backends. An attacker can exploit the URL processing by providing a null URLEPSS 0.6%CVE-2026-41041CRITICALApache Gravitino: URL path injection via unencoded user-supplied identifiers in MCP REST client f-string URL construction, enabling path traversal to unintended API endpoints.EPSS 0.5%CVE-2026-22031HIGHFastify Middie Middleware Path BypassEPSS 0.5%CVE-2026-29045HIGHHono: Arbitrary file access via serveStatic vulnerabilityEPSS 0.4%CVE-2024-48866LOWQTS, QuTS heroEPSS 0.4%CVE-2024-23983MEDIUMAccess rules for PingAccess may be circumvented with URL-encoded charactersEPSS 0.4%CVE-2026-6414MEDIUM@fastify/static vulnerable to route guard bypass via encoded path separatorsEPSS 0.4%CVE-2026-59083CRITICALApache Tomcat: Incorrect URL decoding in RewriteValve may allow security control bypassEPSS 0.4%CVE-2026-22037HIGH@fastify/express vulnerable to Improper Handling of URL Encoding (Hex Encoding)EPSS 0.3%CVE-2025-11990LOWImproper Handling of URL Encoding (Hex Encoding) in GitLabEPSS 0.3%