Fallos del tipo CWE-209

482 resultados

Exposição de Informações Sensíveis em Mensagens de Erro

Quando a aplicação exibe mensagens de erro muito detalhadas ao usuário, revelando informações internas como caminhos de arquivo, versões de software, nomes de banco de dados ou stack traces completos. Um atacante usa essas informações para mapear a infraestrutura e identificar vulnerabilidades conhecidas.

Ejemplo

Um formulário de login retorna 'Erro: usuário admin não encontrado no banco de dados PostgreSQL v13.2' em vez de apenas 'Credenciais inválidas'. Ou uma exceção não tratada mostra o caminho completo /var/www/html/config.php e a linha exata do código que falhou, dando ao atacante um mapa detalhado da aplicação.

Cómo mitigar

Implemente mensagens genéricas para o usuário final ('Dados inválidos') e registre os detalhes técnicos apenas em logs internos que o usuário não acessa. Desative o modo debug em produção e configure tratamento de exceções customizado que nunca exponha stack traces, caminhos ou versões de componentes.

CVE-2026-22646MEDIUMCertain error messages returned by the application expose internal system details that should not be visible to end users, providing attackeEPSS 0.4%CVE-2025-49128MEDIUMJackson-core Vulnerable to Memory Disclosure via Source Snippet in JsonLocationEPSS 0.4%CVE-2025-13596LOWImproper Error Handling Leading to Sensitive Information Disclosure in CIGES ≤ 2.15.6EPSS 0.4%CVE-2024-21866MEDIUMGeneration of Error Message Containing Sensitive Information in Rapid SCADAEPSS 0.4%CVE-2021-21416LOWPotential sensitive information disclosed in error reportsEPSS 0.4%CVE-2023-49107MEDIUMGeneration of Error Message Containing Sensitive Information Vulnerability in Hitachi Device ManagerEPSS 0.4%CVE-2024-36106MEDIUMArgo CD allows authenticated users to enumerate clusters by nameEPSS 0.4%CVE-2025-69253MEDIUMfree5GC vulnerable to improper error handling in NEF with information exposureEPSS 0.4%CVE-2025-1350MEDIUMMultiple vulnerabilities in IBM ControllerEPSS 0.4%CVE-2025-41441MEDIUMMailform Pro CGI prior to 4.3.4 generates error messages containing sensitive information, which may allow a remote unauthenticated attackerEPSS 0.4%CVE-2026-3626MEDIUMMultiple Vulnerabilities in IBM Concert SoftwareEPSS 0.4%CVE-2026-8861MEDIUMSecurity vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify AccessEPSS 0.4%CVE-2026-11904MEDIUMSecurity vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify AccessEPSS 0.4%CVE-2026-115496MEDIUMWorkflow names may be leaked to unauthenticated users in KNIME Business HubEPSS 0.4%CVE-2025-31998LOWHCL Unica Centralized Offer Management is vulnerable to poor unhandled exceptions which exposes sensitive informationEPSS 0.4%CVE-2025-8852MEDIUMWuKongOpenSource WukongCRM API Response upload information exposureEPSS 0.4%CVE-2024-52893MEDIUMIBM Concert Software information disclosureEPSS 0.4%CVE-2026-52394CRITICALDeepSeek V4 is vulnerable to Incorrect Access Control via a crafted input.EPSS 0.4%CVE-2024-13536MEDIUM1003 Mortgage Application <= 1.87 - Unauthenticated Full Path DisclosureEPSS 0.4%CVE-2022-39304MEDIUMghinstallation returns app JWT in error responsesEPSS 0.4%