Falhas do tipo CWE-1288

34 resultados

Validação inconsistente de entrada

É quando a aplicação falha em validar se diferentes partes de um input são coerentes entre si. Por exemplo, aceita um CPF válido mas não checa se ele bate com o nome ou data de nascimento fornecida, permitindo dados contraditórios. O risco: lógica de negócio quebrada, bypass de controles de segurança ou injeção de dados malformados que exploram suposições não verificadas.

Exemplo

Um formulário de cadastro aceita um voo com data de partida posterior à data de chegada, ou um carrinho de compras onde a quantidade total de itens não bate com a soma das quantidades individuais. Se a aplicação assume internamente que esses dados são coerentes, pode processar operações inválidas.

Como mitigar

Implemente validadores que checam não apenas campos isolados, mas também relações entre eles (data início < data fim, quantidade total = somatório de itens, etc). Use testes com entradas contraditórias e defina invariantes de negócio que devem ser mantidas antes de processar a requisição.

CVE-2026-31431HIGHcrypto: algif_aead - Revert to operating out-of-placeEPSS 99.9%KEVCVE-2022-39353CRITICALxmldom allows multiple root nodes in a DOMEPSS 1.3%CVE-2023-6245HIGHInfinite decoding loop through specially crafted payloadEPSS 1.2%CVE-2021-41531—Invalid RPKI data could disable Route Origin Validation on RTR clients.EPSS 0.9%CVE-2023-1620MEDIUMWAGO: DoS in multiple products in multiple versions using CodesysEPSS 0.9%CVE-2024-25951HIGHA command injection vulnerability exists in local RACADM. A malicious authenticated user could gain control of the underlying operating systEPSS 0.8%CVE-2023-1619MEDIUMWAGO: DoS in multiple versions of multiple productsEPSS 0.8%CVE-2026-69793HIGHWindows TCP/IP Security Feature Bypass VulnerabilityEPSS 0.8%CVE-2024-8305MEDIUMMongoDB Server secondaries may crash due to forced index constraintsEPSS 0.6%CVE-2024-5953MEDIUM389-ds-base: malformed userpassword hash may cause denial of serviceEPSS 0.6%CVE-2024-31136HIGHIn JetBrains TeamCity before 2024.03 2FA could be bypassed by providing a special URL parameterEPSS 0.5%CVE-2026-18794HIGHOpenRGB: insufficient input data checks lead to Denial-of-Service, memory overread and overwriteEPSS 0.5%CVE-2026-43001HIGHAn issue was discovered in OpenStack Keystone before 29.0.2. POST /v3/credentials did not validate that the caller-supplied project_id for aEPSS 0.5%CVE-2024-12093MEDIUMImproper Validation of Consistency within Input in GitLabEPSS 0.5%CVE-2024-39515HIGHJunos OS and Junos OS Evolved: With BGP traceoptions enabled, receipt of specifically malformed BGP update causes RPD crashEPSS 0.5%CVE-2024-31140MEDIUMIn JetBrains TeamCity before 2024.03 server administrators could remove arbitrary files from the server by installing toolsEPSS 0.4%CVE-2026-73219MEDIUMCVAT: Denial of service with regards to automatic annotationEPSS 0.3%CVE-2026-15943MEDIUMKeycloak-services: keycloak-services: oidc idp update reuses masked client secret after token url changeEPSS 0.3%CVE-2026-42982HIGHWindows Secure Kernel Mode Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-9689MEDIUMKeycloak: org.keycloak.protocol.oidc: http parameter pollution in oidc redirect uri allows response parameter duplication - #ghi-604EPSS 0.3%