Fallos del tipo CWE-612

11 resultados

Autorização inadequada de índices com informações sensíveis

Ocorre quando um sistema indexa (em bancos de dados, search engines, caches) informações sensíveis sem controlar adequadamente quem pode acessar esses índices. Um atacante pode consultar o índice e recuperar dados que deveriam estar protegidos, mesmo que a aplicação principal tenha controles de acesso.

Ejemplo

Uma API indexa documentos de usuários em Elasticsearch sem autenticação. Um atacante consulta o índice diretamente e extrai CPFs, emails e históricos financeiros de todos os clientes, contornando completamente o controle de acesso da aplicação web.

Cómo mitigar

Aplique controles de acesso no próprio índice (autenticação, verificação de permissões por usuário), criptografe dados sensíveis antes de indexar e restrinja quem pode criar ou modificar índices. Revise regularmente quais dados estão sendo indexados e se realmente precisam estar ali.

CVE-2024-49071MEDIUMWindows Defender Information Disclosure VulnerabilityEPSS 1.1%CVE-2022-35980HIGHOpenSearch vulnerable to Improper Authorization of Index Containing Sensitive InformationEPSS 1.0%CVE-2024-25635HIGHIDOR Vulnerability: Allowing Organization Owner to view the other Organizations API KEY and USERSEPSS 0.7%CVE-2023-4560MEDIUMImproper Authorization of Index Containing Sensitive Information in omeka/omeka-sEPSS 0.6%CVE-2022-22565MEDIUMDell PowerScale OneFS, versions 9.0.0-9.3.0, contain an improper authorization of index containing sensitive information. An authenticated aEPSS 0.5%CVE-2022-41918MEDIUMIssue with fine-grained access control of indices backing data streamsEPSS 0.4%CVE-2025-57756MEDIUMContao discloses sensitive information in the front end search indexEPSS 0.3%CVE-2019-25605HIGHEquityPandit 1.0 Insecure Logging Information DisclosureEPSS 0.3%CVE-2025-3654MEDIUMPetlibro Smart Pet Feeder Platform through 1.7.31 Information Disclosure via API endpointEPSS 0.2%CVE-2025-3653MEDIUMPetlibro Smart Pet Feeder through 1.7.31 Platform Improper Access Control via API endpointEPSS 0.2%CVE-2025-3660MEDIUMPetlibro Smart Pet Feeder Platform through 1.7.31 Broken Access Control via API endpointEPSS 0.2%