Fallos del tipo CWE-393

15 resultados

Retorno de código de status incorreto

A aplicação retorna um código HTTP ou de estado que não corresponde corretamente ao resultado da operação (ex: retorna 200 OK após falha de autenticação, ou 500 Internal Server Error quando o problema é apenas validação). Isso obscurece o estado real da aplicação para clientes, logs e sistemas de monitoramento, facilitando exploração e mascarando problemas.

Ejemplo

Um endpoint de login que falha por credencial inválida mas retorna HTTP 500 em vez de 401 Unauthorized. Um cliente automatizado pode interpretar isso como falha do servidor e aplicar lógica de retry, enquanto alertas de segurança não disparam. Ou um serviço que autoriza acesso negado retornando 200, deixando o cliente achar que a requisição funcionou.

Cómo mitigar

Mapeie explicitamente os códigos de status corretos para cada cenário de negócio e erro na aplicação (401 para autenticação falha, 403 para acesso negado, 400 para entrada inválida, 500 apenas para erros reais do servidor). Teste este mapeamento em testes unitários e de integração, incluindo casos de falha.

CVE-2023-37897HIGHServer-side Template Injection (SSTI) in gravEPSS 2.8%CVE-2025-5987HIGHLibssh: invalid return code for chacha20 poly1305 with openssl backendEPSS 1.7%CVE-2020-5401MEDIUMCloud Foundry GoRouter is vulnerable to cache poisoningEPSS 1.0%CVE-2024-49117HIGHWindows Hyper-V Remote Code Execution VulnerabilityEPSS 1.0%CVE-2026-55958HIGHRenesas TSIP TLS 1.3 transcript buffer out-of-bounds write in tsip_StoreMessageEPSS 0.4%CVE-2025-32414MEDIUMIn libxml2 before 2.13.8 and 2.14.x before 2.14.2, out-of-bounds memory access can occur in the Python API (Python bindings) because of an iEPSS 0.4%CVE-2026-85483MEDIUMApache Thrift: c_glib TZlibTransport reports a full read after a premature stream endEPSS 0.3%CVE-2026-42246HIGHnet-imap vulnerable to STARTTLS stripping via invalid response timingEPSS 0.3%CVE-2026-92821MEDIUMSssd: sssd: access control bypass via premature ldap access rule evaluationEPSS 0.3%CVE-2026-9058CRITICALImproper Certificate Verification in Szafir SDKEPSS 0.3%CVE-2026-92834MEDIUMApache Thrift: C++ WebSocket server transport does not read a full request lengthEPSS 0.3%CVE-2025-24531MEDIUMIn OpenSC pam_pkcs11 before 0.6.13, pam_sm_authenticate() wrongly returns PAM_IGNORE in many error situations (such as an error triggered byEPSS 0.2%CVE-2026-97381CRITICALLegacy Update ActiveX control accepts unauthorized hosting originsEPSS 0.2%CVE-2026-85087MEDIUMApache Thrift: Python ≥3.12 host-name check silently becomes a no-opEPSS 0.2%CVE-2026-53092HIGHbpf: Fix linked reg delta tracking when src_reg == dst_regEPSS 0.1%