Fallos del tipo CWE-200

5714 resultados

Exposição de Informação Sensível

A aplicação divulga dados sensíveis (senhas, tokens, dados pessoais, chaves) para usuários ou sistemas que não têm autorização para acessá-los. Isso acontece por falta de controle de acesso adequado, logging verboso, erro de configuração ou simplesmente porque o dado fica visível em lugares errados — como mensagens de erro, logs públicos ou respostas HTTP.

Ejemplo

Um endpoint que lista pedidos expõe o CPF de outros clientes na resposta JSON sem validar se aquele usuário tem permissão; ou uma página de erro de servidor exibe o caminho completo dos arquivos e credenciais do banco de dados; ou a API retorna tokens de sessão em histórico de navegação.

Cómo mitigar

Implemente controle de acesso baseado em papéis (RBAC), filtre sempre os dados retornados por contexto do usuário autenticado, nunca exponha informação sensível em logs ou mensagens de erro, e revise regularmente o que a API devolve em cada resposta — especialmente campos como senhas, chaves, CPFs e tokens.

CVE-2018-0245—A vulnerability in the REST API of Cisco 5500 and 8500 Series Wireless LAN Controller (WLC) Software could allow an unauthenticated, remote EPSS 2.3%CVE-2021-21323MEDIUMRegression in DNS leakage from Tor windowsEPSS 2.3%CVE-2017-12354—A vulnerability in the web-based interface of Cisco Secure Access Control System (ACS) could allow an unauthenticated, remote attacker to viEPSS 2.2%CVE-2023-26476HIGHTwo XWiki Platform UIs Expose Sensitive Information to an Unauthorized ActorEPSS 2.2%CVE-2024-8929MEDIUMLeak partial content of the heap through heap buffer over-read in mysqlndEPSS 2.2%CVE-2020-15098HIGHMissing Required Cryptographic Step Leading to Sensitive Information Disclosure in TYPO3 CMSEPSS 2.2%CVE-2020-3411HIGHCisco DNA Center Information Disclosure VulnerabilityEPSS 2.2%CVE-2020-8151—There is a possible information disclosure issue in Active Resource <v5.1.1 that could allow an attacker to create specially crafted requestEPSS 2.2%CVE-2022-23633HIGHExposure of sensitive information in Action PackEPSS 2.2%CVE-2023-28322MEDIUMAn information disclosure vulnerability exists in curl <v8.1.0 when doing HTTP(S) transfers, libcurl might erroneously use the read callbackEPSS 2.2%CVE-2023-49282MEDIUMTest code in published microsoft-graph package exposes phpinfo()EPSS 2.2%CVE-2023-49283MEDIUMTest code in published microsoft-graph-core package exposes phpinfo()EPSS 2.2%CVE-2018-15446MEDIUMCisco Meeting Server Information Disclosure VulnerabilityEPSS 2.2%CVE-2021-29115MEDIUMAn information disclosure vulnerabilityEPSS 2.2%CVE-2025-21308MEDIUMWindows Themes Spoofing VulnerabilityEPSS 2.2%CVE-2023-40211HIGHWordPress Post Grid Plugin <= 2.2.50 is vulnerable to Sensitive Data ExposureEPSS 2.2%CVE-2024-38041MEDIUMWindows Kernel Information Disclosure VulnerabilityEPSS 2.2%CVE-2020-1699HIGHA path traversal flaw was found in the Ceph dashboard implemented in upstream versions v14.2.5, v14.2.6, v15.0.0 of Ceph storage and has beeEPSS 2.1%CVE-2023-46851—Apache Allura: sensitive information exposure via importEPSS 2.1%CVE-2023-36763HIGHMicrosoft Outlook Information Disclosure VulnerabilityEPSS 2.1%