Fallos del tipo CWE-178

117 resultados

Tratamento inadequado de sensibilidade a maiúsculas/minúsculas

Fraqueza onde o software não valida ou compara corretamente strings levando em conta diferenças entre maiúsculas e minúsculas, quando deveria fazê-lo (ou vice-versa). Um atacante pode contornar validações, acessar recursos não autorizados ou disparar comportamentos inesperados ao explorar inconsistências no tratamento de caso.

Ejemplo

Um WAF bloqueia requisições com a URL '/admin/users', mas um atacante consegue acessar '/Admin/Users' ou '/ADMIN/USERS' porque a validação não é case-insensitive enquanto a lógica de roteamento do servidor é. Resultado: bypass de controle de acesso.

Cómo mitigar

Padronize todas as comparações de strings sensíveis (URLs, nomes de arquivo, identificadores de usuário) para um único case antes de validar ou comparar. Documente explicitamente em cada validação se o comportamento deve ser case-sensitive ou não, alinhando com a lógica real da aplicação.

CVE-2026-47346HIGHTYPO3 CMS - Broken Access Control in Form FrameworkEPSS 0.3%CVE-2026-86472MEDIUMfast-uri vulnerable to inconsistent host case normalization via percent-encoded octetsEPSS 0.3%CVE-2026-109841MEDIUMundici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokensEPSS 0.3%CVE-2026-54763HIGHTraefik: headerField underscore-variant identity spoofing in BasicAuth / DigestAuth / ForwardAuthEPSS 0.2%CVE-2026-44367LOWKlaw: user lockout due to case sensitivity inconsistencyEPSS 0.2%CVE-2026-111448LOWWheels 4.0.0 through 4.1.2 uses case-insensitive comparisons in path-containment checks on case-sensitive filesystems. Canonical-path checksEPSS 0.2%CVE-2026-57441HIGHMCPVault: PathFilter restricted-directory deny-list bypass via case and trailing dot/space equivalenceEPSS 0.2%CVE-2026-57234LOWNokogiri: XML::Schema on JRuby allows network requests when NONET is set, bypassing CVE-2020-26247EPSS 0.2%CVE-2026-63121MEDIUMKubewarden trusted-repos-policy: uppercase registry host bypasses registry/image deny rulesEPSS 0.2%CVE-2026-106497MEDIUMBackstage: Inconsistent catalog property permission evaluationEPSS 0.2%CVE-2021-48006MEDIUMPocketMine-MP before 4.0.3 Operator Privilege Escalation via Case SensitivityEPSS 0.2%CVE-2026-100693HIGHHugo v0.162.0 before v0.166.0 IP-literal Deny Rule BypassEPSS 0.1%CVE-2026-3532MEDIUMOpenID Connect / OAuth client - Less critical - Access bypass - SA-CONTRIB-2026-027EPSS 0.1%CVE-2026-108721MEDIUMOpen Computer Use through 1.0.0 Denylist Bypass via Case-Variant Bundle IDEPSS 0.1%CVE-2026-105570MEDIUMDocker Sandboxes OAuth response masking could be bypassed with a case-variant token hostEPSS 0.1%CVE-2026-17409CRITICALMultiple Vulnerabilities in IBM API ConnectEPSS —CVE-2026-17085MEDIUMMultiple Vulnerabilities in IBM API ConnectEPSS —