Fallos del tipo CWE-88

378 resultados

Divulgação de Informações

Fraqueza onde a aplicação expõe dados sensíveis — senhas, tokens, chaves criptográficas, dados pessoais — para atores não autorizados. Pode ocorrer por erro de configuração, logs inadequados, mensagens de erro verbosas, armazenamento inseguro ou falta de controle de acesso.

Ejemplo

Um serviço web retorna a senha do banco de dados em mensagens de erro quando a conexão falha, ou uma API deixa chaves de API visíveis em arquivos de configuração commitados no repositório público. Outro caso: logs de produção contendo tokens de autenticação que qualquer pessoa com acesso ao servidor consegue ler.

Cómo mitigar

Implemente controle de acesso baseado em roles, sanitize mensagens de erro para usuários finais (log detalhado apenas internamente), revise variáveis de ambiente e configurações, nunca commite segredos no repositório, e aplique mascaramento em logs (ex: exibir apenas últimos 4 dígitos de tokens). Use scanners de secrets no CI/CD.

CVE-2026-115372CRITICALIncus 7.3.0 before 7.5.0 Project Restriction Bypass via block.create_optionsEPSS 0.4%CVE-2026-73621MEDIUMGitPython before 3.1.56 Arbitrary File Truncation via Commit.countEPSS 0.4%CVE-2026-100369HIGHCliInvoke: Argument Injection in Extensibility Runner FactoryEPSS 0.4%CVE-2026-18740HIGHSecurity vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify AccessEPSS 0.4%CVE-2026-18157HIGHYggdrasil-worker-package-manager: yggdrasil-worker-package-manager: remote code execution via apt argument injectionEPSS 0.4%CVE-2026-110930HIGHCodex Desktop for Windows does not correctly check quotation marks in project paths from Windows Explorer. If a user selects "Open project iEPSS 0.4%CVE-2026-86862HIGHpgAdmin 4: Connection-string injection via the database field in the Restore and Maintenance toolsEPSS 0.4%CVE-2025-23073LOWAPI list=globalblocks can reveal IP of autoblock if username and IP are included in the bgtargets parameterEPSS 0.3%CVE-2025-53509HIGHAdvantech iView Argument InjectionEPSS 0.3%CVE-2026-0304MEDIUMCortex XDR Broker VM: Privilege Escalation VulnerabilityEPSS 0.3%CVE-2026-50056HIGHZimbra Collaboration Suite Local Privilege Escalation via zmmailboxdmgr JVM Argument InjectionEPSS 0.3%CVE-2026-12530HIGHImproper neutralization of argument delimiters in AWS Bedrock AgentCore Python SDK install_packages()EPSS 0.3%CVE-2026-92892CRITICALPotential command execution on the host running JFrog CLI.EPSS 0.3%CVE-2026-50147HIGHMetabase: Arbitrary File Read via MySQL Connection Property InjectionEPSS 0.3%CVE-2025-43905MEDIUMDell PowerProtect Data Domain with Data Domain Operating System (DD OS) of Feature Release versions 7.7.1.0 through 8.3.0.15, LTS2025 releasEPSS 0.3%CVE-2021-1485MEDIUMCisco IOS XR Software Command Injection VulnerabilityEPSS 0.3%CVE-2026-2449CRITICALImproper neutralization of argument delimiters in a command ('argument injection') vulnerability in upKeeper Solutions upKeeper Instant PrivEPSS 0.3%CVE-2025-52459HIGHAdvantech iView Argument InjectionEPSS 0.3%CVE-2020-27129MEDIUMCisco SD-WAN vManage Software Command Injection VulnerabilityEPSS 0.3%CVE-2026-4519HIGHwebbrowser.open() allows leading dashes in URLsEPSS 0.3%