Fallos del tipo CWE-22

6629 resultados

Travessia de diretório (path traversal)

A aplicação constrói caminhos de arquivo a partir de entrada do usuário sem validar adequadamente sequências como '../' ou símbolos absolutos, permitindo que um atacante acesse arquivos fora do diretório permitido. Isso expõe dados sensíveis ou permite execução não autorizada de operações no sistema de arquivos.

Ejemplo

Um sistema web que serve documentos de um diretório específico recebe a requisição 'GET /doc?file=../../etc/passwd'. Se não validar a entrada, o código resolve o caminho para fora do diretório restrito e vaza o arquivo de senhas do sistema.

Cómo mitigar

Valide caminhos usando listas brancas de nomes de arquivo permitidos, normalize caminhos (remover '../' e símbolos), use APIs que isolem automaticamente operações em diretório base (ex: chroot, sandbox), e evite concatenar entrada direta em construtores de caminhos. Teste com payloads comuns de path traversal em testes de segurança.

CVE-2025-13339HIGHHippoo Mobile App for WooCommerce <= 1.7.1 - Unauthenticated Arbitrary File ReadEPSS 2.4%CVE-2021-43358HIGHSunnet eHRD - Path TraversalEPSS 2.4%CVE-2022-0779—User Meta < 2.4.4 - Subscriber+ Local File Enumeration via Path TraversalEPSS 2.4%CVE-2024-5581HIGHAllegra unzipFile Directory Traversal Remote Code Execution VulnerabilityEPSS 2.4%CVE-2023-0862HIGHPath Traversal in NetModule NSRWEPSS 2.4%CVE-2025-24963MEDIUMBrowser mode serves arbitrary files in vitestEPSS 2.4%CVE-2022-20718MEDIUMCisco IOx Application Hosting Environment VulnerabilitiesEPSS 2.4%CVE-2025-34118HIGHLinknat VOS Manager Path Traversal File DisclosureEPSS 2.3%CVE-2020-7497—A CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability exists in EcoStruxure Operator TerminEPSS 2.3%CVE-2022-34254HIGHAdobe Commerce Improper Limitation of a Pathname to a Restricted Directory Arbitrary code executionEPSS 2.3%CVE-2023-27562MEDIUMThe n8n package 0.218.0 for Node.js allows Directory Traversal.EPSS 2.3%CVE-2022-1992CRITICALPath Traversal in gogs/gogsEPSS 2.3%CVE-2022-44900CRITICALA directory traversal vulnerability in the SevenZipFile.extractall() function of the python library py7zr v0.20.0 and earlier allows attackeEPSS 2.3%CVE-2022-1560—Amministrazione Aperta < 3.8 - Admin+ LFIEPSS 2.3%CVE-2024-12905HIGHAn Improper Link Resolution Before File Access ("Link Following") and Improper Limitation of a Pathname to a Restricted Directory ("Path TraEPSS 2.3%CVE-2022-0369HIGHTriangle MicroWorks SCADA Data Gateway Restore Workspace Directory Traversal Remote Code Execution VulnerabilityEPSS 2.3%CVE-2025-41242MEDIUMCVE-2025-41242: Path traversal vulnerability on non-compliant Servlet containersEPSS 2.3%CVE-2024-51483MEDIUMchangedetection.io Path Traversal vulnerabilityEPSS 2.3%CVE-2025-34076MEDIUMMicroweber CMS Authenticated Local File Inclusion via Backup APIEPSS 2.3%CVE-2023-41373HIGHBIG-IP Configuration Utility vulnerabilityEPSS 2.3%