Fallos del tipo CWE-99

73 resultados

Injeção de Recurso

Ocorre quando uma aplicação constrói caminhos de arquivo, URLs, nomes de banco de dados ou outros identificadores de recurso usando entrada do usuário sem validação adequada. Um atacante consegue manipular esses identificadores para acessar recursos não autorizados ou executar operações em recursos inesperados.

Ejemplo

Um sistema web que carrega imagens do servidor assim: `arquivo = usuario_input + '.png'` e depois lê o arquivo. Um atacante envia `../../etc/passwd` como entrada e consegue ler arquivos sensíveis do servidor, ou envia `http://outro-servidor.com/malware.png` para injetar uma URL maliciosa.

Cómo mitigar

Implemente validação rigorosa de entrada (whitelist de valores permitidos, bloqueio de caracteres perigosos como `.`, `/`, `://`), use mapeamento indireto (referências numéricas em vez de nomes fornecidos pelo usuário) e aplique princípio do menor privilégio para o acesso a recursos. Considere usar bibliotecas padrão da linguagem que sanitizam automaticamente.

CVE-2025-12270MEDIUMLearnHouse Student Assignment Submission sub_file resource injectionEPSS 0.4%CVE-2025-12918LOWyungifez Skuul School Management System View Fee Invoice fee-invoices resource injectionEPSS 0.4%CVE-2026-114726MEDIUMRoundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by a mail header injection vulnerability in the Bounce (resend) action. rEPSS 0.4%CVE-2026-71901HIGHApache OFBiz: Dispatch arbitrary internal services on SFA componentEPSS 0.4%CVE-2025-9619MEDIUME4 Sistemas Mercatus ERP id resource injectionEPSS 0.4%CVE-2025-3405MEDIUMFCJ Venture Builder appclientefiel HTTP GET Request ObterPedido resource injectionEPSS 0.4%CVE-2026-94149MEDIUMOmega Solution HRM OS Role Permission Retrieval Endpoint permission resource injectionEPSS 0.4%CVE-2023-6605HIGHFfmpeg: dash playlist ssrf vulnerability in ffmpegEPSS 0.4%CVE-2026-13493LOWAIDC-AI ComfyUI-Copilot Workflow Checkpoint Restore conversation_api.py resource injectionEPSS 0.4%CVE-2025-9264MEDIUMXuxueli xxl-job Jobs JobInfoController.java remove resource injectionEPSS 0.4%CVE-2025-2125MEDIUMControl iD RH iD PDF Document companyId resource injectionEPSS 0.3%CVE-2026-95847HIGHMoquette client IDs can cause cross-session H2 durable-queue corruptionEPSS 0.3%CVE-2026-3855LOWImproper Control of Resource Identifiers ('Resource Injection') in GitLabEPSS 0.3%CVE-2025-9263MEDIUMXuxueli xxl-job JobLogController.java getJobsByGroup resource injectionEPSS 0.3%CVE-2020-6245MEDIUMSAP Business Objects Business Intelligence Platform, version 4.2, allows an attacker with access to local instance, to inject file or code tEPSS 0.3%CVE-2024-0231LOWImproper Control of Resource Identifiers ('Resource Injection') in GitLabEPSS 0.3%CVE-2026-114725MEDIUMRoundcube Webmail before 1.6.20 and 1.7.x before 1.7.5 is affected by a mail header injection vulnerability. rcmail_sendmail stripped newlinEPSS 0.3%CVE-2026-5414MEDIUMNewgen OmniDocs WebApiRequestRedirection resource injectionEPSS 0.3%CVE-2026-50218HIGHAkamai GPA (Guardicore Platform Agent) client on all platforms before 7.4 improperly validates JWT tokens used for seeding. By convincing a EPSS 0.3%CVE-2026-9438MEDIUMyashpokharna2555 StudentManagementSystem courseDel.php resource injectionEPSS 0.3%