Fallos del tipo CWE-254

6 resultados

Implementação Inadequada de Recursos de Segurança

Fraqueza genérica que descreve quando um aplicativo não implementa corretamente mecanismos de segurança críticos — como autenticação, autorização, criptografia ou validação — deixando brechas exploráveis. É uma categoria-guarda-chuva para falhas em componentes de defesa que deveriam estar presentes e funcionando.

Ejemplo

Um sistema de login que valida a senha mas esquece de verificar se a conta está ativa ou bloqueada, permitindo que invasores acessem contas desativadas. Ou uma API que criptografa dados em trânsito mas transmite chaves de acesso em texto plano no URL.

Cómo mitigar

Revise a implementação de cada camada de segurança (autenticação, autorização, criptografia, logging) contra os padrões esperados do projeto. Inclua testes de segurança específicos para validar que cada mecanismo realmente funciona como prometido, não apenas que está presente no código.

CVE-2018-0353—A vulnerability in traffic-monitoring functions in Cisco Web Security Appliance (WSA) could allow an unauthenticated, remote attacker to cirEPSS 3.8%CVE-2017-12353—A vulnerability in the Multipurpose Internet Mail Extensions (MIME) scanner of Cisco AsyncOS Software for Cisco Email Security Appliances (EEPSS 1.6%CVE-2018-0110—A vulnerability in Cisco WebEx Meetings Server could allow an authenticated, remote attacker to access the remote support account even afterEPSS 1.4%CVE-2021-43177—As a result of an incomplete fix for CVE-2015-7225, in versions of devise-two-factor prior to 4.0.2 it is possible to reuse a One-Time-PasswEPSS 0.9%CVE-2018-6336HIGHAn issue was discovered in osquery. A maliciously crafted Universal/fat binary can evade third-party code signing checks. By not completing EPSS 0.5%CVE-2021-40006—Vulnerability of design defects in the security algorithm component. Successful exploitation of this vulnerability may affect confidentialitEPSS 0.1%