Fallos del tipo CWE-427

921 resultados

Busca descontrolada em caminho ou elemento

Ocorre quando uma aplicação procura por um arquivo, biblioteca ou recurso em um caminho sem validação adequada, permitindo que um atacante injete ou substitua o alvo da busca. Um adversário pode colocar um arquivo malicioso em um diretório que será encontrado primeiro, ou manipular a ordem de busca, fazendo o programa executar código não autorizado.

Ejemplo

Um programa busca por uma DLL em C:\Windows\System32 e depois no diretório atual. Se o atacante colocar uma DLL maliciosa no diretório de trabalho, ela será carregada em vez da legítima. Ou um script shell procura por um binário em PATH sem caminho absoluto — um atacante cria uma versão maliciosa em um diretório que vem antes na busca.

Cómo mitigar

Use caminhos absolutos e canonicalizados em vez de busca por caminho; valide cada etapa da resolução antes de usar o recurso; configure permissões restritivas em diretórios de busca e remova diretórios modificáveis do PATH. Em tempo de execução, carregue apenas recursos de locais pré-definidos e confiáveis.

CVE-2017-20052MEDIUMPython pgAdmin4 uncontrolled search pathEPSS 1.3%CVE-2024-23054CRITICALAn issue in Plone Docker Official Image 5.2.13 (5221) open-source software that could allow for remote code execution due to a package listeEPSS 1.3%CVE-2020-5145—SonicWall Global VPN client version 4.10.4.0314 and earlier have an insecure library loading (DLL hijacking) vulnerability. Successful exploEPSS 1.2%CVE-2022-4313HIGHA vulnerability was reported where through modifying the scan variables, an authenticated user in Tenable products, that has Scan Policy ConEPSS 1.2%CVE-2019-6825—A CWE-427: Uncontrolled Search Path Element vulnerability exists in ProClima (all versions prior to version 8.0.0) which could allow a malicEPSS 1.2%CVE-2020-24424HIGHUncontrolled Search Path in Adobe Premiere Pro for WindowsEPSS 1.2%CVE-2020-24423HIGHUncontrolled Search Path in Adobe Media Encoder for WindowsEPSS 1.2%CVE-2017-14020—In AutomationDirect CLICK Programming Software (Part Number C0-PGMSW) Versions 2.10 and prior; C-More Programming Software (Part Number EA9-EPSS 1.1%CVE-2018-14812—An uncontrolled search path element (DLL Hijacking) vulnerability has been identified in Fuji Electric Energy Savings Estimator versions V.1EPSS 1.1%CVE-2024-13946HIGHBinary Planting / LoadLibrary DLL's not SignedEPSS 1.1%CVE-2024-6769HIGHMedium to High Integrity Privilege Escalation in Microsoft WindowsEPSS 1.1%CVE-2019-5631HIGHRapid7 InsightAppSec Local Privilege EscalationEPSS 1.1%CVE-2025-4981CRITICALPath Traversal Leading to RCE by Any Authenticated Mattermost UserEPSS 1.0%CVE-2022-24765MEDIUMUncontrolled search for the Git directory in Git for WindowsEPSS 1.0%CVE-2023-27859MEDIUMIBM Db2 code executionEPSS 1.0%CVE-2026-55015MEDIUMMicrosoft Remote Help Denial of Service VulnerabilityEPSS 1.0%CVE-2022-28687HIGHThis vulnerability allows remote attackers to execute arbitrary code on affected installations of AVEVA Edge 2020 SP2 Patch 0(4201.2111.1802EPSS 1.0%CVE-2023-0142MEDIUMUncontrolled search path element vulnerability in Backup Management functionality in Synology DiskStation Manager (DSM) before 6.2.4-25556-8EPSS 1.0%CVE-2025-29802HIGHVisual Studio Elevation of Privilege VulnerabilityEPSS 1.0%CVE-2026-110936HIGHA vulnerability has been identified in Siemens Software Center (All versions < V4.0.9.8). The affected application loads dynamic-link librarEPSS 1.0%KEV