Fallos del tipo CWE-178

86 resultados

Tratamento inadequado de sensibilidade a maiúsculas/minúsculas

Fraqueza onde o software não valida ou compara corretamente strings levando em conta diferenças entre maiúsculas e minúsculas, quando deveria fazê-lo (ou vice-versa). Um atacante pode contornar validações, acessar recursos não autorizados ou disparar comportamentos inesperados ao explorar inconsistências no tratamento de caso.

Ejemplo

Um WAF bloqueia requisições com a URL '/admin/users', mas um atacante consegue acessar '/Admin/Users' ou '/ADMIN/USERS' porque a validação não é case-insensitive enquanto a lógica de roteamento do servidor é. Resultado: bypass de controle de acesso.

Cómo mitigar

Padronize todas as comparações de strings sensíveis (URLs, nomes de arquivo, identificadores de usuário) para um único case antes de validar ou comparar. Documente explicitamente em cada validação se o comportamento deve ser case-sensitive ou não, alinhando com a lógica real da aplicação.

CVE-2026-57234LOWNokogiri: XML::Schema on JRuby allows network requests when NONET is set, bypassing CVE-2020-26247EPSS 0.2%CVE-2026-73476MEDIUMExternal Authentication - Moderately critical - Access bypass - SA-CONTRIB-2026-098EPSS 0.2%CVE-2026-57441HIGHMCPVault: PathFilter restricted-directory deny-list bypass via case and trailing dot/space equivalenceEPSS 0.2%CVE-2026-86472MEDIUMfast-uri vulnerable to inconsistent host case normalization via percent-encoded octetsEPSS 0.2%CVE-2026-3532MEDIUMOpenID Connect / OAuth client - Less critical - Access bypass - SA-CONTRIB-2026-027EPSS 0.1%CVE-2021-48006MEDIUMPocketMine-MP before 4.0.3 Operator Privilege Escalation via Case SensitivityEPSS 0.1%