Falhas do tipo CWE-1188

264 resultados

Padrão inseguro não alterado pelo administrador

A aplicação é entregue com uma configuração padrão insegura (como senha padrão, porta aberta, ou função habilitada por padrão) que deveria ser mudada na primeira execução ou durante a administração, mas não é. O desenvolvedor assume que o admin vai mudar, mas isso frequentemente não acontece, deixando a falha na produção.

Exemplo

Um servidor de banco de dados instalado com usuário 'admin' e senha 'admin123' como padrão, documentado que deve ser alterado na primeira inicialização. Se o administrador pula essa etapa ou a ignora, qualquer um consegue acessar o banco com credenciais triviais.

Como mitigar

Force a mudança de configurações críticas na primeira execução (bloqueie a aplicação até que defaults inseguros sejam alterados), forneça valores padrão aleatórios e únicos por instalação, ou use setup assistido que não permite prosseguir sem trocar credenciais e permissões perigosas.

CVE-2026-48509MEDIUMMessagePack-CSharp: ASP.NET Core MessagePackInputFormatter defaults to TrustedData for HTTP request bodiesEPSS 0.4%CVE-2026-53660HIGHOpenAM Insecure SSO Cookie InitializationEPSS 0.4%CVE-2026-9680MEDIUMMCP Server Exposure via Insecure Default Binding on alibabacloud-rds-openapi-mcp-serverEPSS 0.4%CVE-2026-49462MEDIUMnl.nl-portal:app has GraphiQL UI and GraphQL schema introspection enabled by defaultEPSS 0.4%CVE-2025-41672CRITICALWAGO: Vulnerability in WAGO Device SphereEPSS 0.4%CVE-2025-36222HIGHIBM Fusion insecure default configurationEPSS 0.4%CVE-2026-14765HIGHEpic Games Unreal Engine Insecure Default URL Scheme Allowance in LaunchURLEPSS 0.4%CVE-2018-25169HIGHAMPPS 2.7 Denial of Service via Malformed Socket ConnectionEPSS 0.4%CVE-2018-25193HIGHMongoose Web Server 6.9 Denial of Service via Socket ConnectionEPSS 0.4%CVE-2026-31818CRITICALBudibase: Server-Side Request Forgery via REST Connector with Empty Default BlacklistEPSS 0.4%CVE-2026-54067CRITICALSiYuan: Stored XSS to RCE via CSS-snippet <style> breakout in renderSnippet()EPSS 0.4%CVE-2026-1675MEDIUMAdvanced Country Blocker <= 2.3.1 - Unauthenticated Authorization Bypass via Insecure Default Secret KeyEPSS 0.4%CVE-2025-41713MEDIUMWAGO: Vulnerability in hardware switch circuitEPSS 0.4%CVE-2026-105744HIGHDocling: Arbitrary file read/write (and command execution when shell-escape is enabled) when rendering untrusted TikZ with the opt-in Tectonic engineEPSS 0.4%CVE-2026-54158CRITICALSiYuan: Stored XSS to RCE via attribute-view cell rendering in genAVValueHTML()EPSS 0.4%CVE-2026-24148HIGHNVIDIA Jetson for JetPack contains a vulnerability in the system initialization logic, where an unprivileged attacker could cause the initiaEPSS 0.4%CVE-2022-2196MEDIUMSpeculative execution attacks in KVM VMXEPSS 0.4%CVE-2026-100291CRITICALInitialization of a resource with an insecure default in Anjvision YSSD-RTMP-H5EPSS 0.4%CVE-2026-114618MEDIUMAuthlib: Default JWT bearer grant accepts assertions for the wrong audienceEPSS 0.4%CVE-2026-75062CRITICALEval Injection in google/langfun via default lf.query protocolEPSS 0.4%