Fallos del tipo CWE-526

18 resultados

Exposição de informações sensíveis através de variáveis de ambiente

Ocorre quando dados sensíveis (credenciais, chaves de API, tokens) são armazenados em variáveis de ambiente sem proteção adequada, permitindo que processos filhos, usuários locais ou ferramentas de monitoramento acessem essas informações. O risco é que variáveis de ambiente são visíveis a qualquer processo em execução no mesmo contexto do usuário e podem ser logadas em dumps de memória ou históricos de processo.

Ejemplo

Uma aplicação Node.js lê `process.env.DB_PASSWORD` para conectar ao banco de dados, mas a senha fica exposta quando você executa `ps aux` ou `cat /proc/[pid]/environ` em outro terminal no mesmo servidor. Um desenvolvedor junior debugando o app também consegue ver tudo com `printenv`.

Cómo mitigar

Use um gerenciador de secrets dedicado (Vault, AWS Secrets Manager, Azure Key Vault) em produção. Em desenvolvimento, proteja o arquivo `.env` com permissões restritas (600) e nunca o versione. Para ambientes containerizados, injete segredos via volumes montados ou serviços de orquestração nativos, não via variáveis de ambiente em plain text.

CVE-2014-2377—Ecava IntegraXor SCADA Server Information Exposure Through Environmental VariablesEPSS 1.8%CVE-2023-5720HIGHQuarkus: build env information disclosure via gradle pluginEPSS 0.8%CVE-2023-35931LOWShescape potential environment variable exposure on Windows with CMDEPSS 0.8%CVE-2024-11736MEDIUMOrg.keycloak:keycloak-quarkus-server: unrestricted admin use of system and environment variablesEPSS 0.8%CVE-2026-49377MEDIUMIn JetBrains TeamCity before 2025.11.2 exposure of sensitive data via default agent parametersEPSS 0.7%CVE-2024-4369MEDIUMCluster-image-registry-operator: exposes a secret via env variable in pod definition on azureEPSS 0.7%CVE-2025-9162MEDIUMOrg.keycloak/keycloak-model-storage-service: variable injection into environment variablesEPSS 0.5%CVE-2025-28381HIGHA credential leak in OpenC3 COSMOS before v6.0.2 allows attackers to access service credentials as environment variables stored in all contaEPSS 0.4%CVE-2023-43029MEDIUMIBM Storage Virtualize vSphere Remote Plug-in information disclosureEPSS 0.4%CVE-2024-2700HIGHQuarkus-core: leak of local configuration properties into quarkus applicationsEPSS 0.3%CVE-2026-40153HIGHPraisonAIAgents Affected by Environment Variable Secret Exfiltration via os.path.expandvars() Bypassing shell=False in Shell ToolEPSS 0.3%CVE-2025-36017MEDIUMIBM Controller Information DisclosureEPSS 0.3%CVE-2025-0985MEDIUMIBM MQ information disclosureEPSS 0.3%CVE-2026-45370HIGHpython-utcp: Full Process Environment Exposed to CLI Subprocess - Secrets Leakage via Command InjectionEPSS 0.2%CVE-2023-47615LOWA CWE-526: Exposure of Sensitive Information Through Environmental Variables vulnerability exists in Telit Cinterion BGS5, Telit Cinterion EEPSS 0.2%CVE-2024-12604MEDIUMImproper Authentication in Tapandsign Technologies Tap and Sign AppEPSS 0.2%CVE-2025-27899MEDIUMMultiple vulnerabilities in IBM Java SDK affecting Db2 Recovery Expert for Linux, Unix and WindowsEPSS 0.2%CVE-2025-36105MEDIUMIBM Planning Analytics Advanced Certified Containers is vulnerable to a sensitive information disclosure vulnerabilityEPSS 0.1%