Fallos del tipo CWE-428

356 resultados

Caminho de busca sem aspas ou elemento não delimitado

Ocorre quando um aplicativo executa um programa ou carrega uma biblioteca usando um caminho sem aspas ou delimitação adequada, permitindo que espaços ou caracteres especiais no caminho sejam interpretados como separadores. Um atacante pode explorar isso colocando um executável malicioso em um diretório com nome parcial que coincida com a busca (ex: 'C:\Program Files\' interpretado como 'C:\Program\'), fazendo o sistema executar código não autorizado.

Ejemplo

Um serviço Windows tenta executar 'C:\Program Files\MeuApp\service.exe' mas o caminho não está entre aspas. O sistema busca primeiro por 'C:\Program.exe', depois 'C:\Program Files\MeuApp\service.exe'. Um atacante cria 'C:\Program.exe' malicioso e consegue executá-lo com privilégios do serviço.

Cómo mitigar

Sempre delimite caminhos com aspas duplas ao executar programas ou carregar bibliotecas dinâmicas. Use APIs que validem caminhos explicitamente, evite concatenação de strings para construir paths, e mantenha diretórios sensíveis com permissões restritivas para impedir criação de arquivos não autorizados.

CVE-2020-36989HIGHForensiTAppxService 2.2.0.4 - 'ForensiTAppxService.exe' Unquoted Service PathEPSS 0.2%CVE-2016-20091HIGHWindows Firewall Control 4.8.6.0 Unquoted Service Path Privilege EscalationEPSS 0.2%CVE-2025-43993HIGHDell Wireless 5932e and Qualcomm Snapdragon X62 Firmware and GNSS/GPS Driver, versions prior to 3.2.0.22 contain an Unquoted Search Path or EPSS 0.2%CVE-2024-5963MEDIUMAn unquoted executable path exists in Hitachi Device ManagerEPSS 0.2%CVE-2021-47985HIGHBrother SAPSprint 7.60 Unquoted Service Path Privilege EscalationEPSS 0.2%CVE-2019-25292HIGHAlps HID Monitor Service 8.1.0.10 - 'ApHidMonitorService' Unquote Service PathEPSS 0.2%CVE-2019-25288HIGHWacom WTabletService 6.6.7-3 - 'WTabletServicePro' Unquoted Service PathEPSS 0.2%CVE-2024-31201MEDIUMA “CWE-428: Unquoted Search Path or Element” affects the ThermoscanIP_Scrutation service. Such misconfiguration could be abused in scenariosEPSS 0.2%CVE-2026-2542HIGHTotal VPN win-service.exe unquoted search pathEPSS 0.2%CVE-2021-47882HIGHFreeLAN 2.2 - 'FreeLAN Service' Unquoted Service PathEPSS 0.2%CVE-2020-37055HIGHSpyHunter 4 - 'SpyHunter 4 Service' Unquoted Service PathEPSS 0.2%CVE-2020-37062HIGHDHCP Turbo 4.6.1298- 'DHCP Turbo 4' Unquoted Service PathEPSS 0.2%CVE-2020-37045HIGHNetBackup 7.0 - 'NetBackup INET Daemon' Unquoted Service PathEPSS 0.2%CVE-2020-36952HIGHIObit Uninstaller 10 Pro - Unquoted Service PathEPSS 0.2%CVE-2020-37048HIGHIskysoft Application Framework Service 2.4.3.241 - 'IsAppService' Unquoted Service PathEPSS 0.2%CVE-2020-37064HIGHEPSON EasyMP Network Projection 2.81 - 'EMP_NSWLSV' Unquoted Service PathEPSS 0.2%CVE-2020-37047HIGHDeep Instinct Windows Agent 1.2.29.0 - 'DeepMgmtService' Unquoted Service PathEPSS 0.2%CVE-2020-37037HIGHAVAST SecureLine 5.5.522.0 - 'SecureLine' Unquoted Service PathEPSS 0.2%CVE-2025-12247HIGHHasleo Backup Suite HasleoImageMountService/HasleoBackupSuiteService unquoted search pathEPSS 0.2%CVE-2025-8070CRITICALWindows service registered with an unquoted ImagePath vulnerability in the system registryEPSS 0.2%