Fallos del tipo CWE-547

11 resultados

Constantes de segurança codificadas em código-fonte

É quando valores críticos para segurança — como chaves de criptografia, tokens, senhas padrão ou URLs de APIs — são inseridos diretamente no código-fonte em vez de serem armazenados em configurações externas. O risco é que qualquer pessoa com acesso ao código (repositório, binário compilado, ou até após engenharia reversa) consegue extrair essas credenciais e comprometer a segurança da aplicação.

Ejemplo

Um desenvolvedor hardcoda a chave de API de um serviço crítico direto no código (`const API_KEY = 'abc123xyz'`), ou deixa uma senha de banco de dados dentro de uma string de conexão. Quando o repositório vaza ou alguém consegue fazer decompile do binário, essa credencial fica exposta para qualquer atacante reutilizar.

Cómo mitigar

Armazene todas as constantes sensíveis em variáveis de ambiente, arquivos de configuração externos (fora do controle de versão) ou gerenciadores de segredos (como Vault, AWS Secrets Manager). Nunca commite credenciais no Git; use ferramentas como pre-commit hooks para detectar padrões suspeitos antes que sejam versionados.

CVE-2019-14837CRITICALA flaw was found in keycloack before version 8.0.0. The owner of 'placeholder.org' domain can setup mail server on this domain and knowing oEPSS 1.7%CVE-2024-32021LOWLocal Git clone may hardlink arbitrary user-readable files into the new repository's "objects/" directoryEPSS 1.0%CVE-2023-1712CRITICALUse of Hard-coded, Security-relevant Constants in deepset-ai/haystackEPSS 0.8%CVE-2025-30206CRITICALDpanel's hard-coded JWT secret leads to remote code executionEPSS 0.8%CVE-2025-49151CRITICALUse of Hard-coded, Security-relevant Constants in MICROSENS NMP Web+EPSS 0.6%CVE-2025-2079HIGHOptigo Networks Visual BACnet Capture Tool and Optigo Visual Networks Capture Tool version 3.1.2rc11 contain a hard coded secret key. This cEPSS 0.4%CVE-2025-2081HIGHOptigo Networks Visual BACnet Capture Tool and Optigo Visual Networks Capture Tool version 3.1.2rc11 are vulnerable to an attacker impersonaEPSS 0.4%CVE-2026-28256MEDIUMUse of Hard-coded Credentials vulnerability in Trane Tracer SC, Tracer SC+, and Tracer ConciergeEPSS 0.3%CVE-2024-39888HIGHA vulnerability has been identified in Mendix Encryption (All versions >= V10.0.0 < V10.0.2). Affected versions of the module define a speciEPSS 0.2%CVE-2024-41885MEDIUMHardcoding sensitive informationEPSS 0.2%CVE-2025-23253LOWNVIDIA NvContainer service for Windows contains a vulnerability in its usage of OpenSSL, where an attacker could exploit a hard-coded constaEPSS 0.2%