Fallos del tipo CWE-214

34 resultados

Invocação de processo com informação sensível visível

Ocorre quando uma aplicação passa dados sensíveis (senhas, tokens, chaves de API) como argumentos de linha de comando ao iniciar um processo externo. O problema: qualquer usuário do sistema pode listar os processos em execução (via ps, tasklist, etc.) e ler esses argumentos, expondo a informação sensível.

Ejemplo

Um script shell executa `mysql -uadmin -psenha123 < backup.sql` ou uma aplicação faz `Runtime.exec('curl -H Authorization: Bearer SECRET_TOKEN http://...')`. Qualquer outro processo ou usuário no servidor consegue ver essas credenciais rodando `ps aux` ou `Get-Process` no Windows.

Cómo mitigar

Passe dados sensíveis via variáveis de ambiente, arquivos de configuração com permissões restritas, ou fluxo de entrada padrão (stdin) do processo filho, nunca como argumentos visíveis. Use APIs que suportam passar credenciais de forma segura, como bibliotecas nativas em vez de shell commands.

CVE-2026-41357LOWOpenClaw < 2026.3.31 - Unsanitized Environment Variable Leakage in SSH Sandbox BackendsEPSS 0.2%CVE-2026-92747MEDIUMCockpit-machines: cockpit-machines: sensitive data exposure of guest credentials via json argument in process listEPSS 0.2%CVE-2026-9494MEDIUMubuntu-pro-client Information Disclosure via Cleartext Bearer Token Exposure in Process Command LineEPSS 0.1%CVE-2026-76054HIGHInvocation of Process Using Visible Sensitive Information in Black Duck blackduck-c-cpp 1.0.17 through 3.0.6 allows an actor able to executeEPSS 0.1%CVE-2025-48709MEDIUMBMC Control-M/Server cleartext database credentials in process lists and logsEPSS 0.1%CVE-2025-53860MEDIUMF5OS-A FIPS HSM vulnerabilityEPSS 0.1%CVE-2026-81684MEDIUMopenssl_encrypt before 1.4.9 Information Disclosure via Command LineEPSS 0.1%CVE-2026-65088MEDIUMNVIDIA NemoClaw contains a vulnerability where an attacker could cause invocation of process using visible sensitive information. A successfEPSS 0.1%CVE-2026-61670MEDIUMmicrosandbox: Secret values exposed in world-readable process argumentsEPSS 0.1%CVE-2026-12139MEDIUMTanium addressed an information disclosure vulnerability in Connect.EPSS 0.1%CVE-2026-92768MEDIUMCockpit-machines: cockpit-machines: sensitive data exposure via command-line argumentsEPSS 0.1%CVE-2026-80158MEDIUMAnsible-collection-community-general: community.general: ipa_getkeytab does not set no_log on the bind_pw parameter, disclosing the ipa bind password in logs and process listingsEPSS 0.1%CVE-2026-18915MEDIUMExposure of OTP Secret Through Process Command-Line Arguments in TÜBİTAK BİLGEM's eta-otp-lockEPSS 0.1%CVE-2026-92745MEDIUMCockpit-machines: cockpit-machines: information disclosure of rhsm offline token via process argumentsEPSS 0.1%