Fallos del tipo CWE-829

317 resultados

Inclusão de funcionalidade de fonte não confiável

Ocorre quando uma aplicação carrega ou executa código, bibliotecas ou componentes originários de uma fonte não verificada ou controlada por terceiros. O risco é alto porque o código malicioso ou comprometido executa com os mesmos privilégios da aplicação, permitindo roubo de dados, injeção de código ou compromisso total do sistema.

Ejemplo

Um aplicativo web busca um script JavaScript de um CDN externo sem validar assinatura criptográfica. Se o CDN for comprometido ou o tráfego interceptado, o atacante injeta código que rouba credenciais dos usuários. Outro caso: uma dependência npm instalada automaticamente é atualizada e passa a conter malware, afetando todos os projetos que a consomem.

Cómo mitigar

Valide a origem e integridade de componentes: use subresource integrity (SRI) para scripts externos, verifique assinaturas digitais de pacotes, mantenha dependências em repositório privado controlado, e audite regularmente bibliotecas críticas com ferramentas como npm audit ou SBOM. Implemente listas de permissão (whitelist) de fontes confiáveis e isole a execução quando possível.

CVE-2026-92705HIGHAegisub executes arbitrary code through automatically loaded Automation scriptsEPSS 0.1%CVE-2026-123833LOWIn JetBrains IntelliJ IDEA before 2026.3 database connections could be established in untrusted projectsEPSS 0.1%CVE-2026-55251MEDIUMNetBox Device Type Library: Arbitrary Code Execution on CI Runner Through Malicious requirements.txt, .pre-commit-hooks-config.yaml, and .gitmodules FilesEPSS 0.1%CVE-2026-41396HIGHOpenClaw < 2026.3.31 - Environment Variable Override of Plugin Trust RootEPSS 0.1%CVE-2025-39666CRITICALomd: Local privilege escalation when executing omd commands as rootEPSS 0.1%CVE-2022-49042HIGHAn inclusion of functionality from untrusted control sphere vulnerability in MinGW DLL component in Synology Hyper Backup Explorer before 3.EPSS 0.1%CVE-2022-49036HIGHAn inclusion of functionality from untrusted control sphere vulnerability in OpenSSL configuration in Synology Active Backup for Business ReEPSS 0.1%CVE-2026-41355MEDIUMOpenClaw < 2026.3.28 - Arbitrary Code Execution via Mirror Mode Sandbox File ConversionEPSS 0.1%CVE-2025-67900HIGHNXLog Agent before 6.11 can load a file specified by the OPENSSL_CONF environment variable.EPSS 0.1%CVE-2026-105745MEDIUMDocling: Plugin entry points are imported before the allow_external_plugins checkEPSS 0.1%CVE-2026-113461MEDIUMmk-oracle: Local privilege escalation via insecure Oracle Home library loadingEPSS 0.1%CVE-2026-123313LOWIn JetBrains IntelliJ IDEA before 2026.3 improper checks could enable disabled plugins via external dependency settingsEPSS 0.1%CVE-2026-64894HIGHInclusion of functionality from untrusted control sphere vulnerability in Johnson Controls EasyIO Neo IOManager and Tools Installer allows MEPSS 0.1%CVE-2026-123322MEDIUMIn JetBrains WebStorm before 2026.3, 2026.2.4 code execution was possible in untrusted projects via the Angular CLI schematics loaderEPSS 0.1%CVE-2026-11269HIGHInappropriate implementation in Extensions in Google Chrome prior to 149.0.7827.53 allowed an attacker in a privileged network position to eEPSS 0.1%CVE-2026-104809HIGHMitel MiVoice Office 400 Shared Object Hijacking Leading to Arbitrary Code ExecutionEPSS 0.1%CVE-2026-105331MEDIUMmk-oracle: Local privilege escalation via malicious Oracle Instant ClientEPSS 0.1%