Fallos del tipo CWE-200

5715 resultados

Exposição de Informação Sensível

A aplicação divulga dados sensíveis (senhas, tokens, dados pessoais, chaves) para usuários ou sistemas que não têm autorização para acessá-los. Isso acontece por falta de controle de acesso adequado, logging verboso, erro de configuração ou simplesmente porque o dado fica visível em lugares errados — como mensagens de erro, logs públicos ou respostas HTTP.

Ejemplo

Um endpoint que lista pedidos expõe o CPF de outros clientes na resposta JSON sem validar se aquele usuário tem permissão; ou uma página de erro de servidor exibe o caminho completo dos arquivos e credenciais do banco de dados; ou a API retorna tokens de sessão em histórico de navegação.

Cómo mitigar

Implemente controle de acesso baseado em papéis (RBAC), filtre sempre os dados retornados por contexto do usuário autenticado, nunca exponha informação sensível em logs ou mensagens de erro, e revise regularmente o que a API devolve em cada resposta — especialmente campos como senhas, chaves, CPFs e tokens.

CVE-2022-36079HIGHParse Server vulnerable to brute force guessing of user sensitive data via search patternsEPSS 1.3%CVE-2020-4045HIGHInformation disclosure in SSB-DBEPSS 1.3%CVE-2018-15456MEDIUMCisco Identity Services Engine Password Recovery VulnerabilityEPSS 1.3%CVE-2021-32817MEDIUMFile disclosure in express-hbsEPSS 1.3%CVE-2025-34098HIGHRiverbed SteelHead VCX Authenticated Arbitrary File Read via Log Filter InjectionEPSS 1.3%CVE-2020-3537MEDIUMCisco Jabber for Windows Universal Naming Convention Link Handling VulnerabilityEPSS 1.3%CVE-2018-0269—A vulnerability in the web framework of the Cisco Digital Network Architecture Center (DNA Center) could allow an unauthenticated, remote atEPSS 1.3%CVE-2025-53728MEDIUMMicrosoft Dynamics 365 (On-Premises) Information Disclosure VulnerabilityEPSS 1.3%CVE-2020-3360MEDIUMCisco IP Phones Series 7800 and Series 8800 Call Log Information Disclosure VulnerabilityEPSS 1.3%CVE-2026-27604CRITICALFOSSBilling: Improper API Role Validation (system) Enables Unauthenticated Access to Privileged Admin FunctionsEPSS 1.3%CVE-2025-58751LOWVite middleware may serve files starting with the same name with the public directoryEPSS 1.3%CVE-2023-29450HIGHUnauthorized limited filesystem access from preprocessingEPSS 1.3%CVE-2026-27796MEDIUMHomarr: Unauthenticated Information Disclosure (Integration Metadata Leak)EPSS 1.3%CVE-2021-41125MEDIUMHTTP authentication credential leak to target websites in scrapyEPSS 1.3%CVE-2023-34090HIGHDecidim vulnerable to sensitive data disclosureEPSS 1.3%CVE-2023-33960HIGHOpenProject vulnerable to project identifier information leakage through robots.txtEPSS 1.3%CVE-2016-10530—The airbrake module 0.3.8 and earlier defaults to sending environment variables over HTTP. Environment variables can often times contain secEPSS 1.3%CVE-2024-26144MEDIUMPossible Sensitive Session Information Leak in Active StorageEPSS 1.3%CVE-2022-24768CRITICALImproper access control allows admin privilege escalation in Argo CDEPSS 1.3%CVE-2016-0715—Pivotal Cloud Foundry Elastic Runtime version 1.4.0 through 1.4.5, 1.5.0 through 1.5.11 and 1.6.0 through 1.6.11 is vulnerable to a remote iEPSS 1.2%