Fallos del tipo CWE-348

104 resultados

Uso de fonte menos confiável

A aplicação toma decisões de segurança baseando-se em dados que vêm de uma fonte menos confiável (como entrada do usuário, cabeçalhos HTTP, variáveis de ambiente) quando deveria usar uma fonte de maior confiança (como base de dados interna, configuração do servidor, atributos validados). Isso permite que um atacante manipule o fluxo lógico forjando ou alterando esses dados.

Ejemplo

Um sistema de permissões que lê o nível de privilégio do usuário de um cookie ou cabeçalho HTTP em vez de consultá-lo no banco de dados do servidor. Um atacante modifica o cookie para 'admin' e ganha acesso a funcionalidades restritas.

Cómo mitigar

Sempre valide e recupere dados sensíveis de segurança (identidade, permissões, estado de autenticação) a partir de fontes confiáveis controladas pelo servidor (sessão autenticada, banco de dados). Nunca confie em dados fornecidos pelo cliente ou derivados de entrada do usuário para decisões críticas de autorização.

CVE-2026-64619HIGHFileCodeBox < 2.4 Anti-bruteforce Rate Limit Bypass via Spoofed HeadersEPSS 0.3%CVE-2023-2897LOWBrizy Page Builder <= 2.4.18 - IP Address Spoofing to Protection Mechanism BypassEPSS 0.3%CVE-2026-63770HIGHGlance 0.8.5 IP Spoofing Authentication Brute-Force Protection BypassEPSS 0.3%CVE-2026-9561HIGHEclipse Kura versions prior to 5.6.2 trust the client-supplied X-Forwarded-For HTTP header as the authoritative source of the client IP addrEPSS 0.3%CVE-2026-26927MEDIUMURL (HTTP Origin) call location spoofing in Szafir SDK WebEPSS 0.3%CVE-2026-97404CRITICALIn OpenStack Zaqar before 22.0.2, WSGI transport mishandles the URL-Signature header. By sending a request with an empty URL-Signature headeEPSS 0.3%CVE-2022-44593LOWWordPress Solid Security plugin <= 9.3.1 - IP Spoofing Leading to Denial of Service vulnerabilityEPSS 0.3%CVE-2026-90711CRITICALproxy-addr vulnerable to IP spoofing via IPv4-mapped IPv6 trust subnetEPSS 0.3%CVE-2024-0789MEDIUMWP Maintenance <= 6.1.9.2 - IP Spoofing to Maintenance Mode BypassEPSS 0.3%CVE-2025-15154MEDIUMPbootCMS Header handle.php get_user_ip less trusted sourceEPSS 0.3%CVE-2024-6171MEDIUMUnlimited Elements For Elementor (Free Widgets, Addons, Templates) <= 1.5.112 - IP Address Spoofing to Antispam BypassEPSS 0.2%CVE-2022-4536MEDIUMIP Vault – WP Firewall <= 1.1 - IP Address Spoofing to Protection Mechanism BypassEPSS 0.2%CVE-2026-43634HIGHHestiaCP 1.2.0-1.9.4 IP Spoofing via CF-Connecting-IP HeaderEPSS 0.2%CVE-2026-46415HIGHCaddy Defender trusted proxy client IP bypassEPSS 0.2%CVE-2026-57942MEDIUMLibreTranslate - IP Spoofing via X-Forwarded-For HeaderEPSS 0.2%CVE-2026-93483CRITICALIn Znuny through 7.3.6, an attacker can bypass specific standard login procedures and gain unauthorized access to sensitive system functionsEPSS 0.2%CVE-2022-4529MEDIUMSecurity, Antivirus, Firewall – S.A.F <= 2.3.5 - IP Address Spoofing to Protection Mechanism BypassEPSS 0.2%CVE-2026-48772CRITICALProxySQL: PROXY-Protocol-v1 UNKNOWN parses spoofed source IP, bypassing mysql_query_rules.client_addr ACLEPSS 0.2%CVE-2025-13694MEDIUMAA Block country <= 1.0.1 - Unauthenticated IP Address Spoofing via X-Forwarded-For HeaderEPSS 0.2%CVE-2026-25552MEDIUMGhost CLI < 1.30.1 IP Spoofing via X-Forwarded-For HeaderEPSS 0.2%