Fallos del tipo CWE-202

49 resultados

Exposição de informações sensíveis através de consultas de dados

Ocorre quando a aplicação retorna dados sensíveis (senhas, tokens, IDs internos) em respostas de consultas, logs ou mensagens de erro, sem validar ou filtrar o que é exposto. O desenvolvedor não distingue entre dados públicos e privados na resposta, permitindo que um atacante extraia informações confidenciais simplesmente consultando a API ou observando as mensagens.

Ejemplo

Uma API REST retorna o objeto completo do usuário em uma busca por email, incluindo hash de senha, ID interno do banco de dados e chave de API. Um atacante pode fazer requisições em massa para enumerar usuários e coletar credenciais expostas nas respostas.

Cómo mitigar

Implemente serialização seletiva (use DTOs ou anotações como @JsonIgnore) para retornar apenas campos públicos. Revise logs e mensagens de erro para remover dados sensíveis. Teste respostas de API regularmente com ferramentas de análise estática para detectar exposições antes da produção.

CVE-2021-4159—A vulnerability was found in the Linux kernel's EBPF verifier when handling internal data structures. Internal memory locations could be retEPSS 0.2%CVE-2026-3546MEDIUMe-shot <= 1.0.2 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via API Token via 'eshot_form_builder_get_account_data' AJAX ActionEPSS 0.2%CVE-2026-79620MEDIUMApache Answer: Improper Authorization Allows Disclosure of Non-Public Question MetadataEPSS 0.2%CVE-2026-106506MEDIUMBackstage: Improper input validation in scaffolder task list orderingEPSS 0.2%CVE-2026-33530HIGHInvenTree Vulnerable to ORM Filter InjectionEPSS 0.2%CVE-2026-110183MEDIUMPostgreSQL Anonymizer: statistics can expose some of the original data after statistic maskingEPSS 0.2%CVE-2026-100420MEDIUMInformation disclosure vulnerability in the cloud-client daemon of Deco BE63EPSS 0.2%CVE-2026-105615LOWPostgreSQL Anonymizer: Masked roles can read the statistics of masked columns in pg_statsEPSS 0.1%CVE-2026-118544LOWCommerce Core - Moderately critical - Information disclosure - SA-CONTRIB-2026-259EPSS 0.1%