Fallos del tipo CWE-200

5715 resultados

Exposição de Informação Sensível

A aplicação divulga dados sensíveis (senhas, tokens, dados pessoais, chaves) para usuários ou sistemas que não têm autorização para acessá-los. Isso acontece por falta de controle de acesso adequado, logging verboso, erro de configuração ou simplesmente porque o dado fica visível em lugares errados — como mensagens de erro, logs públicos ou respostas HTTP.

Ejemplo

Um endpoint que lista pedidos expõe o CPF de outros clientes na resposta JSON sem validar se aquele usuário tem permissão; ou uma página de erro de servidor exibe o caminho completo dos arquivos e credenciais do banco de dados; ou a API retorna tokens de sessão em histórico de navegação.

Cómo mitigar

Implemente controle de acesso baseado em papéis (RBAC), filtre sempre os dados retornados por contexto do usuário autenticado, nunca exponha informação sensível em logs ou mensagens de erro, e revise regularmente o que a API devolve em cada resposta — especialmente campos como senhas, chaves, CPFs e tokens.

CVE-2021-25369MEDIUMAn improper access control vulnerability in sec_log file prior to SMR MAR-2021 Release 1 exposes sensitive kernel information to userspace.EPSS 1.1%KEVCVE-2019-10209LOWPostgresql, versions 11.x before 11.5, is vulnerable to a memory disclosure in cross-type comparison for hashed subplan.EPSS 1.1%CVE-2020-3242MEDIUMCisco UCS Director Information Disclosure VulnerabilityEPSS 1.1%CVE-2025-64670MEDIUMWindows DirectX Information Disclosure VulnerabilityEPSS 1.1%CVE-2021-32528MEDIUMQSAN Storage Manager - Exposure of Sensitive Information to an Unauthorized ActorEPSS 1.1%CVE-2021-22728—A CWE-200: Information Exposure vulnerability exists in EVlink City (EVC1S22P4 / EVC1S7P4 all versions prior to R8 V3.4.0.1), EVlink ParkingEPSS 1.1%CVE-2026-26897CRITICALAn issue in EcoOnline EHS (com.airsweb.v10) application for Android, version 0.2.499 allows a remote attacker to obtain sensitive informatioEPSS 1.1%CVE-2022-3348MEDIUMExposure of Sensitive Information to an Unauthorized Actor in tooljet/tooljetEPSS 1.1%CVE-2023-38499LOWtypo3/cms-core Information Disclosure due to Out-of-scope Site ResolutionEPSS 1.1%CVE-2026-50429HIGHWindows Kernel Information Disclosure VulnerabilityEPSS 1.1%CVE-2018-16467—A missing check in Nextcloud Server prior to 14.0.0 could give unauthorized access to the previews of single file password protected shares.EPSS 1.1%CVE-2022-46163HIGHtravel-support-program vulnerable to data exfiltration via Ransack query injectionEPSS 1.1%CVE-2022-29235MEDIUMLimited data exposure for shared external videos in BigBlueButtonEPSS 1.1%CVE-2022-35715MEDIUMIBM InfoSphere Information Server 11.7 could allow a remote attacker to obtain sensitive information when a detailed technical error messageEPSS 1.1%CVE-2021-21421HIGHApiKey secret could be revelated on network issueEPSS 1.1%CVE-2022-39309MEDIUMGoCD server secret encryption/decryption key leaked to agents during material serializationEPSS 1.1%CVE-2017-20019MEDIUMSolare Solar-Log Config information disclosureEPSS 1.1%CVE-2024-31869MEDIUMApache Airflow: Sensitive configuration for providers displayed when "non-sensitive-only" config usedEPSS 1.1%CVE-2023-1203—Improper removal of sensitive data in the entry edit feature of Hub Business submodule in Devolutions Remote Desktop Manager PowerShell ModuEPSS 1.1%CVE-2021-39223MEDIUMFile path disclosure of shared files in Richdocuments applicationEPSS 1.1%