Fallos del tipo CWE-550

4 resultados

Mensagem de erro gerada pelo servidor expondo informações sensíveis

A aplicação exibe mensagens de erro detalhadas ao usuário, revelando informações internas como caminhos de arquivos, versões de software, estrutura de banco de dados ou stack traces. Um atacante usa essas informações para mapear a infraestrutura e identificar vulnerabilidades conhecidas de componentes específicos.

Ejemplo

Um formulário de login retorna erro: 'Usuário não encontrado em /app/modules/auth/users.php linha 42, banco PostgreSQL v12.4'. Com isso, o atacante descobre versões, caminhos internos e pode pesquisar CVEs específicas daquele PostgreSQL.

Cómo mitigar

Implemente mensagens de erro genéricas para o usuário ('Credenciais inválidas') e registre o erro real apenas em logs do servidor com restrição de acesso. Configure tratamento centralizado de exceções e desabilite debug mode em produção.

CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 62.9%CVE-2023-40726HIGHA vulnerability has been identified in QMS Automotive (All versions < V12.39). The affected application server responds with sensitive inforEPSS 0.6%CVE-2023-5617MEDIUMHitachi Vantara Pentaho Data Integration & Analytics - Server-generated Error Message Containing Sensitive InformationEPSS 0.4%CVE-2025-36419MEDIUMMultiple vulnerabilities found in IBM ApplinX.EPSS 0.2%