Fallos del tipo CWE-20

5450 resultados

Validação inadequada de entrada

A aplicação recebe dados de fontes externas (usuário, API, arquivo) sem verificar se estão no formato, tamanho ou tipo esperado antes de usá-los. Isso permite que um atacante envie dados malformados ou maliciosos que podem causar erros, corrupção de dados, execução de código ou acesso não autorizado.

Ejemplo

Um formulário que aceita um número de idade sem validar se é um inteiro positivo entre 0 e 150. Um atacante envia idade=-5 ou idade='DROP TABLE users;' via SQL, e o código processa isso diretamente no banco sem sanitização, causando dano.

Cómo mitigar

Valide TODA entrada externa: verificar tipo, tamanho, formato e intervalo permitido antes de usar. Use whitelists (aceitar apenas valores conhecidos como seguros) em vez de blacklists, e aplique sanitização ou prepared statements para dados que vão em queries. Testes de entrada fuzzing também ajudam a encontrar gaps.

CVE-2026-7712MEDIUMMindsDB Pickle pickle.loads deserializationEPSS 0.4%CVE-2026-90490MEDIUMlenve vhr MailReceiver deserializationEPSS 0.4%CVE-2022-46328HIGHSome smartphones have the input validation vulnerability. Successful exploitation of this vulnerability may affect data confidentiality.EPSS 0.4%CVE-2026-27906MEDIUMWindows Hello Security Feature Bypass VulnerabilityEPSS 0.4%CVE-2026-83492MEDIUMWordPress Kubio AI Website Builder - Denial Of ServiceEPSS 0.4%CVE-2025-1741MEDIUMb1gMail Admin Page users.php deserializationEPSS 0.4%CVE-2026-9497MEDIUMchangmingxie tcc-transaction Fastjson AutoType REST API Fastjson.parseObject deserializationEPSS 0.4%CVE-2026-12787MEDIUMzhilink 智互联(深圳)科技有限公司 ADP Application Developer Platform 应用开发者平台 testConnection Endpoint deserializationEPSS 0.4%CVE-2023-24062MEDIUMDiebold Nixdorf Vynamic Security Suite (VSS) before 3.3.0 SR12, 4.0.0 SR04, 4.1.0 SR02, and 4.2.0 SR01 fails to validate the directory strucEPSS 0.4%CVE-2022-23425HIGHImproper input validation in Exynos baseband prior to SMR Feb-2022 Release 1 allows attackers to send arbitrary NAS signaling messages with EPSS 0.4%CVE-2026-3967MEDIUMAlfresco Activiti Process Variable Serialization System SerializableType.java createObjectInputStream deserializationEPSS 0.4%CVE-2026-55072HIGHPimcore: ClassDefinition UID regex missing end anchor allows SQL injection via Block.php unquoted table nameEPSS 0.4%CVE-2023-2808MEDIUMLack of URL normalization allows rendering previews for disallowed domainsEPSS 0.4%CVE-2026-20254MEDIUMInformation Disclosure through External Content Restriction Bypass in Splunk EnterpriseEPSS 0.4%CVE-2026-27585MEDIUMCaddy's improper sanitization of glob characters in file matcher may lead to bypassing security protectionsEPSS 0.4%CVE-2024-25999HIGHPHOENIX CONTACT: Privilege escalation in the OCPP agent serviceEPSS 0.4%CVE-2023-0869MEDIUMCross-site scripting in outage/list.htmEPSS 0.4%CVE-2025-29150MEDIUMBlueCMS 1.6 suffers from Arbitrary File Deletion via the id parameter in an /publish.php?act=del request.EPSS 0.4%CVE-2023-42508MEDIUMJFrog Artifactory Improper header input validation leads to email manipulation sent from the platformEPSS 0.4%CVE-2024-48918HIGHLack of Input Validation in RDS Light - Potential for Injection Attacks and Memory TamperingEPSS 0.4%