Fallos del tipo CWE-942

134 resultados

Política de segurança entre domínios permissiva com domínios não confiáveis

A fraqueza ocorre quando uma aplicação web configura mecanismos de compartilhamento entre domínios (CORS, crossdomain.xml, postMessage) de forma excessivamente permissiva, aceitando requisições ou dados de qualquer origem ou de domínios não verificados. Isso permite que atacantes em outros domínios acessem dados sensíveis ou executem ações em nome do usuário.

Ejemplo

Um servidor configura 'Access-Control-Allow-Origin: *' em um endpoint que retorna dados de usuário, ou usa um arquivo crossdomain.xml que permite acesso irrestrito. Um atacante hospeda um site malicioso que faz requisições AJAX para o servidor legítimo e consegue ler informações privadas do usuário autenticado.

Cómo mitigar

Especifique explicitamente as origens confiáveis em CORS (ex: 'Access-Control-Allow-Origin: https://seu-dominio.com'), valide a origem das requisições no backend, e evite wildcards ('*'). Para postMessage, sempre verifique a origem do evento antes de processar dados. Remova ou restrinja arquivos crossdomain.xml legados.

CVE-2026-1181CRITICALAltium 365 Over-Permissive CORS Configuration Allows Credentialed Cross-Origin Workspace AccessEPSS 0.4%CVE-2024-6449MEDIUMArbitrary cross-domain file inclusion in HyperView Geoportal ToolkitEPSS 0.4%CVE-2026-33043HIGHAVideo affected by Session Hijacking via Unauthenticated Session ID Disclosure with Permissive CORSEPSS 0.3%CVE-2026-62387HIGHGrav < 1.0.0-rc.16 CORS Misconfiguration via API PluginEPSS 0.3%CVE-2026-32610HIGHGlances's Default CORS Configuration Allows Cross-Origin Credential TheftEPSS 0.3%CVE-2024-10315MEDIUMInsecure Configuration in Gliffy OnlineEPSS 0.3%CVE-2026-41056HIGHAVideos has CORS Origin Reflection with Credentials on Sensitive API Endpoints that Enables Cross-Origin Account TakeoverEPSS 0.3%CVE-2025-41010MEDIUMCross-origin resource sharing (CORS) in Hiberus SintraEPSS 0.3%CVE-2026-33533HIGHGlances Vulnerable to Cross-Origin System Information Disclosure via XML-RPC Server CORS WildcardEPSS 0.3%CVE-2025-41363MEDIUMCORS vulnerability in IDF and ZLFEPSS 0.3%CVE-2025-4515MEDIUMZylon PrivateGPT settings.yaml cross-domain policyEPSS 0.3%CVE-2025-1083LOWMindskip xzs-mysql 学之思开源考试系统 CORS cross-domain policyEPSS 0.3%CVE-2026-54290HIGHHono: CORS Middleware reflects any Origin with credentials when `origin` defaults to the wildcardEPSS 0.3%CVE-2026-68517MEDIUMGlances: REST API CORS Credentials Guard Uses Exact-Match Instead of Membership Test — Bypassed by Any Multi-Origin Allowlist Containing the WildcardEPSS 0.3%CVE-2026-65310HIGHMissing authentication and permissive CORS policyEPSS 0.3%CVE-2024-23823MEDIUMCORS settings overly permissive in vantage6EPSS 0.3%CVE-2025-57755HIGHclaude-code-router CORS. misconfigurationEPSS 0.3%CVE-2025-10529MEDIUMSame-origin policy bypass in the Layout componentEPSS 0.3%CVE-2026-82291HIGHHeyForm Reflects Any Origin in CORS Responses While Allowing CredentialsEPSS 0.3%CVE-2025-53092MEDIUMStrapi core vulnerable to sensitive data exposure via CORS misconfigurationEPSS 0.3%