Fallos del tipo CWE-295

1020 resultados

Validação inadequada de certificados SSL/TLS

A aplicação não valida corretamente o certificado SSL/TLS do servidor remoto, aceitando certificados inválidos, expirados ou de domínios diferentes. Isso permite ataques man-in-the-middle onde um atacante intercepta a comunicação mesmo com criptografia, comprometendo a confidencialidade e integridade dos dados.

Ejemplo

Uma API cliente ignora erros de validação de certificado (ex: desabilita verificação de hostname ou ignora exceções de certificado inválido) e faz requisições HTTPS para servidores externos. Um atacante na rede intercepta o tráfego, apresenta seu próprio certificado, e consegue ler dados sensíveis como tokens de autenticação ou credenciais.

Cómo mitigar

Sempre validar certificados: verificar hostname, data de validade e cadeia de confiança. Usar bibliotecas padrão do seu runtime (HttpClient do .NET, requests do Python, etc.) com validação ativada por padrão. Nunca desabilitar validação SSL/TLS em produção; se precisar em desenvolvimento, use variáveis de ambiente e revise criticamente o código antes de deploy.

CVE-2024-39771MEDIUMQBiC CLOUD CC-2L v1.1.30 and earlier and Safie One v1.8.2 and earlier do not properly validate certificates, which may allow a network-adjacEPSS 0.1%CVE-2026-87880MEDIUMSensitive information disclosure due to missing SSL certificate verification affecting one component. The following products are affected: AEPSS 0.1%CVE-2026-9758HIGHImproper Certificate Validation in S2OPCEPSS 0.1%CVE-2026-40539HIGHAn improper certificate validation vulnerability in Email API in Synology DiskStation Manager (DSM) before 7.2.1-69057-10, 7.2.2-72806-7 andEPSS 0.1%CVE-2026-96375MEDIUMCloud - Critical - Remote code execution - SA-CONTRIB-2026-176EPSS 0.1%CVE-2019-25652HIGHUniFi Network Controller Improper Certificate Validation Leading to Credential Theft via MITMEPSS 0.1%CVE-2026-112652MEDIUMA logic issue was addressed with improved state management. This issue is fixed in iOS 26.7.2 and iPadOS 26.7.2, iOS 27.2 and iPadOS 27.2, mEPSS 0.1%CVE-2025-9785HIGHMisconfigured certificate validation with self-signed certificates for Print DeployEPSS 0.1%CVE-2026-100701MEDIUMNodemailer 5.0.0 through 10.0.1 TLS servername Cache ConfusionEPSS 0.1%CVE-2026-120250MEDIUMOpenAlgo 1.0.0.29 before 2.0.3.1 Improper Certificate Validation in SMTP ConnectionsEPSS 0.1%CVE-2026-54548LOWkas: Persistent SSH Host Key Checking DisablementEPSS 0.1%CVE-2026-89135MEDIUMFailed X509_verify_cert leaves unverified CA in shared CertManagerEPSS 0.1%CVE-2026-16792HIGHGlobal TLS Certificate Validation Bypass in Lenovo XClarity OrchestratorEPSS 0.1%CVE-2026-0249MEDIUMGlobalProtect App: Certificate Validation Bypass VulnerabilitiesEPSS 0.1%CVE-2026-31798MEDIUMJumpServer Improper Certificate Validation in Custom SMS API ClientEPSS 0.1%CVE-2024-0042MEDIUMIn TBD of TBD, there is a possible confusion of OEM and DRM certificates due to improperly used crypto. This could lead to local bypass of DEPSS 0.1%CVE-2025-58127MEDIUMLack of TLS validation in plugin Dell Powerscale on Checkmk ExchangeEPSS 0.1%CVE-2025-58124MEDIUMLack of TLS validation in plugin check-mk-api on Checkmk ExchangeEPSS 0.1%CVE-2025-58126MEDIUMLack of TLS validation in plugin VMware vSAN on Checkmk ExchangeEPSS 0.1%CVE-2025-58123MEDIUMLack of TLS validation in plugin BGP Monitoring on Checkmk ExchangeEPSS 0.1%