Fallos del tipo CWE-76

13 resultados

Neutralização inadequada de caracteres especiais equivalentes

A aplicação falha em tratar caracteres especiais que são funcionalmente equivalentes, permitindo que um atacante contorne filtros ou validações. Por exemplo, diferentes codificações de um mesmo caractere (UTF-8, HTML entity, URL encoding) podem passar por uma validação simplista e executar ações maliciosas.

Ejemplo

Um filtro bloqueia a tag '<script>' mas não bloqueia variações como '<SCRIPT>' em maiúsculas, '<%73cript>' em hex, ou '%3cscript%3e' em URL encoding, todas interpretadas como a mesma coisa pelo navegador ou servidor.

Cómo mitigar

Normalize todas as entradas (decodifique completamente antes de validar), use listas brancas ao invés de blistas pretas, e valide após normalização final. Em contextos web, deixe a sanitização para bibliotecas consolidadas (DOMPurify, bleach).

CVE-2024-1883MEDIUMReflected XSS in PaperCut NG/MFEPSS 61.5%CVE-2024-34359CRITICALllama-cpp-python vulnerable to Remote Code Execution by Server-Side Template Injection in Model MetadataEPSS 28.4%CVE-2023-0493MEDIUMImproper Neutralization of Equivalent Special Elements in btcpayserver/btcpayserverEPSS 7.9%CVE-2024-1882HIGHServer-side resource injection in PaperCut NG/MFEPSS 1.4%CVE-2026-28292CRITICALsimple-git has blockUnsafeOperationsPlugin bypass via case-insensitive protocol.allow config key that enables RCEEPSS 1.3%CVE-2024-2952CRITICALServer-Side Template Injection in BerriAI/litellmEPSS 1.3%CVE-2026-11311HIGHNGINX Gateway Fabric vulnerabilityEPSS 0.6%CVE-2023-1149MEDIUMImproper Neutralization of Equivalent Special Elements in btcpayserver/btcpayserverEPSS 0.5%CVE-2024-1221LOWImproper access controls on APIs on Linux and macOS in PaperCut NG/MFEPSS 0.5%CVE-2024-4897HIGHRemote Code Execution in parisneo/lollms-webuiEPSS 0.4%CVE-2026-54722HIGHdssrf: there a critical security bug with remove_at_symbol_in_stringEPSS 0.3%CVE-2024-21600MEDIUMJunos OS: PTX Series: In an FTI scenario MPLS packets hitting reject next-hop will cause a host path wedge conditionEPSS 0.3%CVE-2026-55723HIGHNGINX Ingress Controller vulnerabilityEPSS 0.3%