Falhas do tipo CWE-1336

301 resultados

Divulgação de Informações

A aplicação expõe dados sensíveis (credenciais, tokens, arquivos internos, estrutura do sistema) a usuários ou atacantes que não deveriam acessá-los. Isso ocorre por falta de controle de acesso adequado, validação insuficiente ou exposição acidental de dados em logs, mensagens de erro ou respostas HTTP.

Exemplo

Um site exibe mensagens de erro detalhadas que revelam caminhos de arquivos e versões de banco de dados; ou uma API retorna dados de outros usuários porque não valida permissões; ou credenciais ficam expostas em comentários do código-fonte publicado.

Como mitigar

Implemente controle de acesso granular (verificar quem acessa o quê); sanitize mensagens de erro (mostrar genéricas ao usuário, logs detalhados apenas internamente); revise e restrinja dados retornados por APIs; escaneie repositórios e logs de produção para credenciais expostas.

CVE-2026-35044HIGHBentoML has a Server-Side Template Injection via unsandboxed Jinja2 Environment in Dockerfile generationEPSS 0.4%CVE-2025-6518MEDIUMPySpur-Dev pyspur Jinja2 Template single_llm_call.py SingleLLMCallNode special elements used in a template engineEPSS 0.4%CVE-2026-77129HIGHServer-Side Template Injection in extension "Event management and registration" (sf_event_mgt)EPSS 0.4%CVE-2024-34710HIGHWiki.js Stored XSS through Client Side Template Injection EPSS 0.4%CVE-2026-18632MEDIUMlanggenius dify Jinja2 jinja2_transformer.py jinja2.Template special elements used in a template engineEPSS 0.4%CVE-2026-71239HIGHDjangoCRM - Server-Side Template Injection in Mass Mail Message RenderingEPSS 0.4%CVE-2025-49142MEDIUMNautobot vulnerable to secrets exposure and data manipulation through Jinja2 templatingEPSS 0.4%CVE-2026-42252CRITICALApache Airflow: BashOperator Jinja2 injection via dag_run.conf — low-privilege user patternEPSS 0.4%CVE-2025-26789MEDIUMAn issue was discovered in Logpoint AgentX before 1.5.0. A vulnerability caused by limited access controls allowed li-admin users to access EPSS 0.4%CVE-2025-54287HIGHArbitrary File Read via Template Injection in Snapshot PatternsEPSS 0.4%CVE-2026-42203HIGHLiteLLM: Server-Side Template Injection in /prompts/test endpointEPSS 0.4%CVE-2026-31864MEDIUMJumpServer has a Server-Side Template Injection Leading to RCE via YAML RenderingEPSS 0.4%CVE-2026-115938HIGHLow privilege condition filter escapes Twig sandbox, recovers "securityKey" and reaches RCEEPSS 0.4%CVE-2026-118803HIGHBricks Theme Unauthenticated Dynamic Data Tag Injection via query_resultEPSS 0.4%CVE-2026-27961HIGHAgenta's Server-Side Template Injection (SSTI) via custom evaluator Jinja2 templates allows RCEEPSS 0.4%CVE-2026-22191MEDIUMBeghelli Sicuro24 SicuroWeb AngularJS Template InjectionEPSS 0.4%CVE-2026-54666HIGHswagger-typescript-api vulnerable to code injection via unescaped OpenAPI path strings in generated method bodiesEPSS 0.4%CVE-2026-39379HIGHGeoNetwork: Reflected XSS through client-side template injectionEPSS 0.4%CVE-2024-58293HIGHAkaunting 3.1.8 Server-Side Template Injection via Multiple Form FieldsEPSS 0.4%CVE-2026-33130MEDIUMUptime Kuma: SSTI in Notification Templates Allows Arbitrary File Read (Incomplete Fix for GHSA-vffh-c9pq-4crh)EPSS 0.4%