Fallos del tipo CWE-209

482 resultados

Exposição de Informações Sensíveis em Mensagens de Erro

Quando a aplicação exibe mensagens de erro muito detalhadas ao usuário, revelando informações internas como caminhos de arquivo, versões de software, nomes de banco de dados ou stack traces completos. Um atacante usa essas informações para mapear a infraestrutura e identificar vulnerabilidades conhecidas.

Ejemplo

Um formulário de login retorna 'Erro: usuário admin não encontrado no banco de dados PostgreSQL v13.2' em vez de apenas 'Credenciais inválidas'. Ou uma exceção não tratada mostra o caminho completo /var/www/html/config.php e a linha exata do código que falhou, dando ao atacante um mapa detalhado da aplicação.

Cómo mitigar

Implemente mensagens genéricas para o usuário final ('Dados inválidos') e registre os detalhes técnicos apenas em logs internos que o usuário não acessa. Desative o modo debug em produção e configure tratamento de exceções customizado que nunca exponha stack traces, caminhos ou versões de componentes.

CVE-2024-49798MEDIUMIBM ApplinX Information DisclosureEPSS 0.4%CVE-2026-23598MEDIUMUnauthenticated Information Disclosure in application API allows sensitive system information exposureEPSS 0.4%CVE-2025-64749MEDIUMDirectus Vulnerable to Information Leakage in Existing CollectionsEPSS 0.3%CVE-2024-13537MEDIUMC9 Blocks <= 1.7.7 - Unauthenticated Full Path DisclosureEPSS 0.3%CVE-2025-71282HIGHXenForo Path Disclosure via open_basedir ExceptionsEPSS 0.3%CVE-2025-0053MEDIUMInformation Disclosure Vulnerability in SAP NetWeaver Application Server for ABAP and ABAP PlatformEPSS 0.3%CVE-2025-13726MEDIUMIBM Sterling Partner Engagement Manager Information DisclosureEPSS 0.3%CVE-2025-36348MEDIUMThe Dashboard of IBM Sterling B2B Integrator and IBM Sterling File Gateway is Vulnerable to Information DisclosureEPSS 0.3%CVE-2026-8173MEDIUMInformation Disclosure via 'Copy learned MAC Addresses' FunctionEPSS 0.3%CVE-2024-36375MEDIUMIn JetBrains TeamCity before 2024.03.2 technical information regarding TeamCity server could be exposedEPSS 0.3%CVE-2026-56331MEDIUMCapgo - Improper Error Handling in Accept Invitation Endpoint via Invalid Magic StringEPSS 0.3%CVE-2026-120971MEDIUMOrg.jboss.resteasy/resteasy-core: resteasy: information disclosure through default exception mapper responsesEPSS 0.3%CVE-2024-50512MEDIUMWordPress Posti Shipping plugin <= 3.10.2 - Full Path Disclosure (FPD) vulnerabilityEPSS 0.3%CVE-2024-56342MEDIUMIBM Verify Identity Access Digital Credentials information disclosureEPSS 0.3%CVE-2020-16128LOWAptdaemon error messages disclosed file existence to unprivileged users via dbus propertiesEPSS 0.3%CVE-2024-37524MEDIUMIBM Analytics Content Hub information disclosureEPSS 0.3%CVE-2026-100677MEDIUMstoatchat before 0.15.5 Account Enumeration via Error LocationEPSS 0.3%CVE-2025-36003HIGHIBM Security Verify Governance Identity Manager information disclosureEPSS 0.3%CVE-2026-44226MEDIUMpyLoad: Unauthenticated traceback disclosure via global exception handler in WebUIEPSS 0.3%CVE-2026-67080MEDIUMHCL BigFix AEX is affected by multiple security vulnerabilities.EPSS 0.3%