Fallos del tipo CWE-475

15 resultados

Comportamento indefinido por entrada inválida em API

Uma API aceita entrada sem validar se ela está dentro dos parâmetros esperados, levando a comportamento imprevisível do software. Quando o programa recebe dados fora da especificação (valores nulos, tipos errados, ranges inválidos), ele pode travar, corromper memória ou executar código não intencional.

Ejemplo

Uma função que calcula a raiz quadrada recebe -1 sem checagem, ou uma API que espera inteiro recebe uma string e tenta fazer aritmética diretamente. O programa não sabe o que fazer e o comportamento fica à mercê do compilador, SO ou contexto de execução.

Cómo mitigar

Sempre validar entrada antes de usar: checar tipos, ranges, valores nulos e conformidade com a especificação da API. Documentar claramente quais valores são aceitos e rejeitar explicitamente o resto com erros apropriados, nunca deixar o comportamento indefinido.

CVE-2020-7925HIGHDenial of Service when processing malformed Role namesEPSS 1.7%CVE-2025-47865HIGHA Local File Inclusion vulnerability in a Trend Micro Apex Central widget below version 8.0.6955 could allow an attacker to gain remote codeEPSS 1.6%CVE-2026-42009HIGHGnutls: gnutls: denial of service via dtls packet reordering vulnerabilityEPSS 1.3%CVE-2024-20380HIGHClamAV HTML Parser Denial of Service VulnerabilityEPSS 1.1%CVE-2023-2253MEDIUMA flaw was found in the `/v2/_catalog` endpoint in distribution/distribution, which accepts a parameter to control the maximum number of recEPSS 0.9%CVE-2023-4874MEDIUMUndefined Behavior for Input to API in MuttEPSS 0.7%CVE-2024-10569HIGHZip Bomb Vulnerability in gradio-app/gradioEPSS 0.6%CVE-2023-4875LOWUndefined Behavior for Input to API in MuttEPSS 0.5%CVE-2024-3099MEDIUMDenial of Service and Data Model Poisoning via URL Encoding in mlflow/mlflowEPSS 0.4%CVE-2023-52533MEDIUMIn modem-ps-nas-ngmm, there is a possible undefined behavior due to incorrect error handling. This could lead to remote information disclosuEPSS 0.4%CVE-2022-29207MEDIUMUndefined behavior when users supply invalid resource handles in TensorFlowEPSS 0.3%CVE-2026-8391MEDIUMOther issue in the JavaScript Engine componentEPSS 0.3%CVE-2026-34379HIGHOpenEXR has a misaligned write in LossyDctDecoder_execute leading to undefined behavior (DWA/DWAB decompression)EPSS 0.3%CVE-2025-47866MEDIUMAn unrestricted file upload vulnerability in a Trend Micro Apex Central widget below version 8.0.6955 could allow an attacker to upload arbiEPSS 0.2%CVE-2026-21690MEDIUMiccDEV has Type Confusion in CIccTagXmlTagData::ToXml()EPSS 0.2%