Fallos del tipo CWE-209

482 resultados

Exposição de Informações Sensíveis em Mensagens de Erro

Quando a aplicação exibe mensagens de erro muito detalhadas ao usuário, revelando informações internas como caminhos de arquivo, versões de software, nomes de banco de dados ou stack traces completos. Um atacante usa essas informações para mapear a infraestrutura e identificar vulnerabilidades conhecidas.

Ejemplo

Um formulário de login retorna 'Erro: usuário admin não encontrado no banco de dados PostgreSQL v13.2' em vez de apenas 'Credenciais inválidas'. Ou uma exceção não tratada mostra o caminho completo /var/www/html/config.php e a linha exata do código que falhou, dando ao atacante um mapa detalhado da aplicação.

Cómo mitigar

Implemente mensagens genéricas para o usuário final ('Dados inválidos') e registre os detalhes técnicos apenas em logs internos que o usuário não acessa. Desative o modo debug em produção e configure tratamento de exceções customizado que nunca exponha stack traces, caminhos ou versões de componentes.

CVE-2023-27319MEDIUM CVE-2023-27319 Information Disclosure Vulnerability in ONTAP MediatorEPSS 0.4%CVE-2021-3620—A flaw was found in Ansible Engine's ansible-connection module, where sensitive information such as the Ansible user credentials is discloseEPSS 0.4%CVE-2023-47639MEDIUMAPI Platform Core can leak exceptions message that may contain sensitive informationEPSS 0.4%CVE-2025-54291MEDIUMProject existence disclosure in LXD images APIEPSS 0.4%CVE-2024-28765MEDIUMSecurity vulnerability was found in IBM Security Directory IntegratorEPSS 0.4%CVE-2025-52671MEDIUMDebug information disclosure in the SQL error message to in Revive Adserver 5.5.2 and 6.0.1 and earlier versions causes non-admin users to aEPSS 0.4%CVE-2024-39725MEDIUMIBM Engineering Lifecycle Optimization - Engineering Insights information disclosureEPSS 0.4%CVE-2024-35134MEDIUMIBM Analytics Content Hub information disclosureEPSS 0.4%CVE-2026-55375MEDIUMcanto-saas-api: OAuth credentials exposed in URL query string and exception messagesEPSS 0.4%CVE-2025-46575MEDIUMZTE GoldenDB Database product has an information disclosure vulnerabilityEPSS 0.4%CVE-2024-41674MEDIUMCKAN may leak Solr credentials via error message in package_search actionEPSS 0.4%CVE-2024-6984HIGHAn issue was discovered in Juju that resulted in the leak of the sensitive context ID, which allows a local unprivileged attacker to access EPSS 0.4%CVE-2026-84499HIGHAutomation-controller: automation-controller-container: automation-controller: write-only survey password recovered in plaintext via schedule/workflowjobtemplatenode survey min/max validation error messageEPSS 0.4%CVE-2024-45713MEDIUMSolarWinds Kiwi CatTools Sensitive Information Disclosure VulnerabilityEPSS 0.4%CVE-2024-11129MEDIUMGeneration of Error Message Containing Sensitive Information in GitLabEPSS 0.4%CVE-2024-48896MEDIUMMoodle: users' names returned in messaging error messageEPSS 0.4%CVE-2025-31141LOWIn JetBrains TeamCity before 2025.03 exception could lead to credential leakage on Cloud Profiles pageEPSS 0.4%CVE-2021-3986MEDIUMInformation Disclosure in janeczku/calibre-webEPSS 0.4%CVE-2026-30835MEDIUMParse Server: Malformed `$regex` query leaks database error details in API responseEPSS 0.4%CVE-2025-2239MEDIUMAbsolute Path Disclosure Vulnerability in Hillstone Next Generation FireWallEPSS 0.4%