Fallos del tipo CWE-200

5715 resultados

Exposição de Informação Sensível

A aplicação divulga dados sensíveis (senhas, tokens, dados pessoais, chaves) para usuários ou sistemas que não têm autorização para acessá-los. Isso acontece por falta de controle de acesso adequado, logging verboso, erro de configuração ou simplesmente porque o dado fica visível em lugares errados — como mensagens de erro, logs públicos ou respostas HTTP.

Ejemplo

Um endpoint que lista pedidos expõe o CPF de outros clientes na resposta JSON sem validar se aquele usuário tem permissão; ou uma página de erro de servidor exibe o caminho completo dos arquivos e credenciais do banco de dados; ou a API retorna tokens de sessão em histórico de navegação.

Cómo mitigar

Implemente controle de acesso baseado em papéis (RBAC), filtre sempre os dados retornados por contexto do usuário autenticado, nunca exponha informação sensível em logs ou mensagens de erro, e revise regularmente o que a API devolve em cada resposta — especialmente campos como senhas, chaves, CPFs e tokens.

CVE-2022-25948MEDIUMInformation ExposureEPSS 1.0%CVE-2020-36532MEDIUMKlapp App Authorization Credentials information disclosureEPSS 1.0%CVE-2022-0384—Video Conferencing with Zoom < 3.8.17 - E-mail Address DisclosureEPSS 1.0%CVE-2019-3868LOWKeycloak up to version 6.0.0 allows the end user token (access or id token JWT) to be used as the session cookie for browser sessions for OIEPSS 1.0%CVE-2025-9196MEDIUMTrinity Audio <= 5.21.0 - Unauthenticated Information ExposureEPSS 1.0%CVE-2022-21671HIGHPotential exposure of Replit tokens to an Unauthorized Actor in @replit/crosisEPSS 1.0%CVE-2022-29567MEDIUMPossible information disclosure inside TreeGrid component with default data providerEPSS 1.0%CVE-2022-21683LOWComment reply notifications sent to incorrect users in wagtailEPSS 1.0%CVE-2020-36319LOWPotential sensitive data exposure in applications using Vaadin 15EPSS 1.0%CVE-2021-32689HIGHNextcloud Talk not properly disassociating users from chats after account deletionEPSS 1.0%CVE-2019-18332—A vulnerability has been identified in SPPA-T3000 Application Server (All versions < Service Pack R8.2 SP2). An attacker with network accessEPSS 1.0%CVE-2021-31918—A flaw was found in tripleo-ansible version as shipped in Red Hat Openstack 16.1. The Ansible log file is readable to all users during stackEPSS 1.0%CVE-2021-34774MEDIUMCisco Common Services Platform Collector Information Disclosure VulnerabilityEPSS 1.0%CVE-2026-49159MEDIUMMicrosoft Graph Information Disclosure VulnerabilityEPSS 1.0%CVE-2026-66301MEDIUMMicrosoft Dynamics 365 (On-Premises) Information Disclosure VulnerabilityEPSS 1.0%CVE-2024-22275MEDIUMThe vCenter Server contains a partial file read vulnerability. A malicious actor with administrative privileges on the vCenter appliance sheEPSS 1.0%CVE-2023-45236MEDIUMPredictable TCP ISNs in EDK II Network PackageEPSS 1.0%CVE-2022-41939MEDIUMCredential exposure when running third-party builders in knative/funcEPSS 1.0%CVE-2022-2558—Simple Job Board < 2.10.0 - Resume Disclosure via Directory ListingEPSS 1.0%CVE-2021-34589HIGHBender Charge Controller: RFID leakEPSS 1.0%