Fallos del tipo CWE-441

231 resultados

Intermediário não intencional ('Deputado confuso')

Ocorre quando um componente com privilégios é induzido a executar ações em nome de um atacante, sem validar adequadamente se a solicitação veio realmente de quem deveria autorizar. O código confia em identificadores fracos ou contexto incompleto, permitindo que um terceiro abuse da autoridade do componente para acessar recursos ou realizar operações que não conseguiria fazer diretamente.

Ejemplo

Um serviço web interno que processa solicitações de eliminação de arquivos verifica se o usuário está autenticado, mas não valida se a solicitação veio do próprio usuário ou de um terceiro (ex: injeção de referência cruzada ou CSRF). Um atacante induz o navegador da vítima a fazer um pedido de deleção usando os cookies da vítima, e o serviço executa a ação porque reconhece a autenticação, não a origem legítima.

Cómo mitigar

Implemente validação robusta da origem e integridade da solicitação: use tokens CSRF únicos e vinculados à sessão, valide o header Referer/Origin, e aplique autenticação step-up para operações sensíveis. Nunca confie apenas em cookies ou sessão para operações de risco; exija confirmação explícita do usuário ou re-autenticação.

CVE-2026-58877MEDIUMIn checkNearbyDevicesPermission of WifiP2pServiceImpl.java, there is a possible permission bypass due to a confused deputy. This could lead EPSS 0.1%CVE-2025-48560MEDIUMIn AndroidManifest.xml, there is a possible way for an app to monitor motion events due to a confused deputy. This could lead to local inforEPSS 0.1%CVE-2025-32317MEDIUMIn App Widget, there is a possible Information Disclosure due to a confused deputy. This could lead to local information disclosure with no EPSS 0.1%CVE-2026-55264MEDIUMIn checkWhetherCallingAppHasAccess of DownloadProvider.java, there is a possible information leak due to a confused deputy. This could lead EPSS 0.1%CVE-2025-48570HIGHIn multiple functions of PipTaskOrganizer.java, there is a possible way to launch an activity from the background due to a confused deputy. EPSS 0.1%CVE-2026-59015MEDIUMIn multiple locations, there is a possible permission bypass due to a confused deputy. This could lead to local information disclosure with EPSS 0.1%CVE-2025-36889MEDIUMIn onCreateTasks of CameraActivity.java, there is a possible permission bypass due to a confused deputy. This could lead to local informatioEPSS 0.1%CVE-2026-28648HIGHIn Settings, there is a possible permission bypass due to a confused deputy. This could lead to local escalation of privilege with no additiEPSS 0.1%CVE-2026-55270HIGHIn dialInternal in multiple locations, there is a possible permission bypass due to a confused deputy. This could lead to local escalation oEPSS 0.1%CVE-2026-0098HIGHIn getCallingPackageName of Shared.java, there is a possible way to bypass activity start restrictions due to a confused deputy. This could EPSS 0.1%CVE-2026-16920CRITICALMultiple Vulnerabilities in IBM API ConnectEPSS —