Fallos del tipo CWE-209

482 resultados

Exposição de Informações Sensíveis em Mensagens de Erro

Quando a aplicação exibe mensagens de erro muito detalhadas ao usuário, revelando informações internas como caminhos de arquivo, versões de software, nomes de banco de dados ou stack traces completos. Um atacante usa essas informações para mapear a infraestrutura e identificar vulnerabilidades conhecidas.

Ejemplo

Um formulário de login retorna 'Erro: usuário admin não encontrado no banco de dados PostgreSQL v13.2' em vez de apenas 'Credenciais inválidas'. Ou uma exceção não tratada mostra o caminho completo /var/www/html/config.php e a linha exata do código que falhou, dando ao atacante um mapa detalhado da aplicação.

Cómo mitigar

Implemente mensagens genéricas para o usuário final ('Dados inválidos') e registre os detalhes técnicos apenas em logs internos que o usuário não acessa. Desative o modo debug em produção e configure tratamento de exceções customizado que nunca exponha stack traces, caminhos ou versões de componentes.

CVE-2023-47636MEDIUMFull Path Disclosure via re-export document in pimcore/admin-ui-classic-bundleEPSS 0.7%CVE-2026-20838MEDIUMWindows Kernel Information Disclosure VulnerabilityEPSS 0.7%CVE-2026-84180MEDIUMApache Camel: Camel-Knative Information Disclosure via Unmuted Consumer ExceptionsEPSS 0.6%CVE-2023-28117HIGHSentry SDK leaks sensitive session information when `sendDefaultPII` is set to `True`EPSS 0.6%CVE-2024-53253MEDIUMSentry's improper error handling leaks Application Integration Client SecretEPSS 0.6%CVE-2023-32755MEDIUMe-Excellence U-Office Force - Error Message LeakageEPSS 0.6%CVE-2022-33930MEDIUMDell Wyse Management Suite 3.6.1 and below contains Information Disclosure in Devices error pages. An attacker could potentially exploit thiEPSS 0.6%CVE-2026-85246MEDIUMApache Camel: Camel-Mina Information Disclosure via Unmuted Consumer ExceptionsEPSS 0.6%CVE-2026-85257MEDIUMApache Camel: Camel-CXF Information Disclosure via Unmuted Consumer ExceptionsEPSS 0.6%CVE-2023-35124LOWAn information disclosure vulnerability exists in the OAS Engine configuration management functionality of Open Automation Software OAS PlatEPSS 0.6%CVE-2022-2508MEDIUMIn affected versions of Octopus Server it is possible to reveal the existence of resources in a space that the user does not have access to EPSS 0.6%CVE-2024-13538MEDIUMBigBuy Dropshipping Connector for WooCommerce <= 2.0.0 - Unauthenticated Full Path DisclosuteEPSS 0.6%CVE-2024-2009MEDIUMNway Pro Argument index.php ajax_login_submit_form information exposureEPSS 0.6%CVE-2022-40292MEDIUMUnauthenticated username enumeration in PHP Point of Sale version 19.0, by PHP Point of Sale, LLC.EPSS 0.6%CVE-2024-35155MEDIUMIBM MQ information disclosureEPSS 0.6%CVE-2023-1210LOWGeneration of Error Message Containing Sensitive Information in GitLabEPSS 0.6%CVE-2024-22646MEDIUMAn email address enumeration vulnerability exists in the password reset function of SEO Panel version 4.10.0. This allows an attacker to gueEPSS 0.6%CVE-2024-54366MEDIUMWordPress Vimeography plugin <= 2.4.4 - Full Path Disclosure (FPD) vulnerabilityEPSS 0.6%CVE-2023-47152MEDIUMIBM Db2 information disclosureEPSS 0.6%CVE-2024-25037MEDIUMIBM Cognos Controller information disclosureEPSS 0.6%