Fallos del tipo CWE-942

149 resultados

Política de segurança entre domínios permissiva com domínios não confiáveis

A fraqueza ocorre quando uma aplicação web configura mecanismos de compartilhamento entre domínios (CORS, crossdomain.xml, postMessage) de forma excessivamente permissiva, aceitando requisições ou dados de qualquer origem ou de domínios não verificados. Isso permite que atacantes em outros domínios acessem dados sensíveis ou executem ações em nome do usuário.

Ejemplo

Um servidor configura 'Access-Control-Allow-Origin: *' em um endpoint que retorna dados de usuário, ou usa um arquivo crossdomain.xml que permite acesso irrestrito. Um atacante hospeda um site malicioso que faz requisições AJAX para o servidor legítimo e consegue ler informações privadas do usuário autenticado.

Cómo mitigar

Especifique explicitamente as origens confiáveis em CORS (ex: 'Access-Control-Allow-Origin: https://seu-dominio.com'), valide a origem das requisições no backend, e evite wildcards ('*'). Para postMessage, sempre verifique a origem do evento antes de processar dados. Remova ou restrinja arquivos crossdomain.xml legados.

CVE-2025-9292LOWPermissive Web Security Policy Allows Cross-Origin Access Control Bypass on Omada Cloud ControllersEPSS 0.4%CVE-2026-63407HIGHGrav API Plugin: CORS 'Access-Control-Allow-Origin: *' on Authenticated API ResponsesEPSS 0.4%CVE-2025-30354HIGHBruno ignores Safe-Mode in Asserts expressionsEPSS 0.4%CVE-2026-34200HIGHNhost CLI MCP Server: Missing Inbound Authentication on Explicitly Bound Network PortEPSS 0.4%CVE-2023-23128MEDIUMConnectwise Control 22.8.10013.8329 is vulnerable to Cross Origin Resource Sharing (CORS). The vendor's position is that two endpoints have EPSS 0.4%CVE-2025-41366MEDIUMCORS vulnerability in IDF and ZLFEPSS 0.4%CVE-2026-15966HIGHImproper CORS handling in MOVEit TransferEPSS 0.4%CVE-2026-66070HIGHRabbitMQ: CORS * reflects Origin with Allow-CredentialsEPSS 0.4%CVE-2023-45213MEDIUM Westermo Lynx Permissive Cross-domain Policy with Untrusted DomainsEPSS 0.4%CVE-2024-22348MEDIUMIBM UrbanCode Velocity cross-origin resource sharingEPSS 0.4%CVE-2026-74881HIGHopenssl_encrypt before 1.4.0 CORS Misconfiguration via Wildcard OriginsEPSS 0.4%CVE-2025-4515MEDIUMZylon PrivateGPT settings.yaml cross-domain policyEPSS 0.4%CVE-2026-107858HIGHCross-Site WebSocket Hijacking and Permissive CORS in Google Agent Development Kit (ADK) for Java Development ServerEPSS 0.4%CVE-2025-61163CRITICALCohere North AI v1.1.5 was discovered to contain excessively permissive cross-domain policy with untrusted domains. This occurs via the servEPSS 0.4%CVE-2026-33043HIGHAVideo affected by Session Hijacking via Unauthenticated Session ID Disclosure with Permissive CORSEPSS 0.4%CVE-2026-70604HIGHElectron: Custom protocol with supportFetchAPI but not corsEnabled allows cross-origin readsEPSS 0.4%CVE-2026-32610HIGHGlances's Default CORS Configuration Allows Cross-Origin Credential TheftEPSS 0.4%CVE-2024-6449MEDIUMArbitrary cross-domain file inclusion in HyperView Geoportal ToolkitEPSS 0.4%CVE-2026-1181CRITICALAltium 365 Over-Permissive CORS Configuration Allows Credentialed Cross-Origin Workspace AccessEPSS 0.4%CVE-2026-33533HIGHGlances Vulnerable to Cross-Origin System Information Disclosure via XML-RPC Server CORS WildcardEPSS 0.3%