Fallos del tipo CWE-86

11 resultados

Falta de neutralização de caracteres inválidos em identificadores web

Ocorre quando a aplicação não valida ou neutraliza adequadamente caracteres especiais ou inválidos em identificadores (IDs, nomes de usuário, URLs, etc.) antes de usá-los em HTML ou lógica de negócio. Um atacante pode injetar caracteres malformados ou códigos de escape que o navegador ou servidor interpretam diferentemente, causando XSS, bypass de validação ou comportamento inesperado.

Ejemplo

Um site aceita um parâmetro 'user_id' sem filtrar caracteres especiais e o insere diretamente em um atributo HTML: <div id="user_123&'">. Se o filtro de XSS do navegador falhar ou interpretar o caractere '&' de forma inesperada, um atacante consegue injetar JavaScript. Ou um sistema de login aceita usernames com caracteres Unicode ambíguos que passam pela validação inicial mas são interpretados de forma diferente no banco de dados, permitindo privilege escalation.

Cómo mitigar

Implemente whitelist rigorosa: aceite apenas caracteres alfanuméricos e alguns símbolos específicos (hífen, underscore) em identificadores. Use funções de escape apropriadas ao contexto (HTML encode, URL encode) antes de renderizar. Valide no servidor, nunca confie apenas em validação cliente. Testes com caracteres Unicode, especiais e de controle durante code review.

CVE-2026-28417MEDIUMVim has OS Command Injection in netrwEPSS 1.2%CVE-2023-31126CRITICALImproper Neutralization of Invalid Characters in Data Attribute Names in org.xwiki.commons:xwiki-commons-xmlEPSS 0.8%CVE-2023-22840LOWImproper neutralization in software for the Intel(R) oneVPL GPU software before version 22.6.5 may allow an authenticated user to potentiallEPSS 0.4%CVE-2024-10941MEDIUMA malicious website could have included an iframe with an malformed URI resulting in a non-exploitable browser crash. This vulnerability affEPSS 0.4%CVE-2025-20166MEDIUMCisco Common Services Platform Collector Cross-Site Scripting VulnerabilityEPSS 0.4%CVE-2024-21864HIGHImproper neutralization in some Intel(R) Arc(TM) & Iris(R) Xe Graphics software before version 31.0.101.5081 may allow an unauthenticated usEPSS 0.3%CVE-2025-20168MEDIUMCisco Common Services Platform Collector Cross-Site Scripting VulnerabilityEPSS 0.3%CVE-2025-20167MEDIUMCisco Common Services Platform Collector Cross-Site Scripting VulnerabilityEPSS 0.3%CVE-2025-66606LOWA vulnerability has been found in FAST/TOOLS provided by Yokogawa Electric Corporation. This product does not properly encode URLs. An atEPSS 0.2%CVE-2021-33158HIGHImproper neutralization in some Intel(R) Ethernet Adapters and Intel(R) Ethernet Controller I225 Manageability firmware may allow a privilegEPSS 0.2%CVE-2026-71478MEDIUMleague/commonmark: AttributesExtension href/src unsafe-link filter bypass via embedded control bytesEPSS 0.2%