Falhas do tipo CWE-1394

27 resultados

Uso de chave criptográfica padrão

A aplicação utiliza uma chave criptográfica pré-definida ou hardcoded em vez de gerar chaves únicas e seguras durante a execução. Qualquer pessoa com acesso ao código-fonte ou binário consegue descriptografar dados que deveriam estar protegidos, anulando completamente a segurança da criptografia.

Exemplo

Um aplicativo de mensageria usa sempre a chave AES 'senha123' para criptografar conversas. Um atacante que descobre essa chave no código consegue descriptografar todas as mensagens de todos os usuários. Ou um firmware de câmera que se conecta ao servidor usando uma chave privada padrão fabricante — qualquer câmera da série usa a mesma chave.

Como mitigar

Gere chaves criptográficas únicas em tempo de execução (derivadas de senhas do usuário ou armazenadas seguramente em sistemas de gerenciamento de chaves). Nunca hardcode chaves no código ou binário; use variáveis de ambiente, cofres (vaults) ou HSMs. Garanta que cada instalação/usuário tenha sua própria chave.

CVE-2026-120442CRITICALape-volo-admin before 3.6.1 Hardcoded JWT Signing Key Authentication BypassEPSS 1.7%CVE-2024-48956CRITICALServiceware Processes 6.0 through 7.3 before 7.4 allows attackers without valid authentication to send a specially crafted HTTP request to aEPSS 0.9%CVE-2020-37281CRITICALGravitee API Management through 4.12.22 Default JWT Secret Authentication BypassEPSS 0.9%CVE-2025-44954CRITICALRUCKUS SmartZone (SZ) before 6.1.2p3 Refresh Build has a hardcoded SSH private key for a root-equivalent user account.EPSS 0.7%CVE-2024-11619LOWmacrozheng mall JWT Token default keyEPSS 0.7%CVE-2024-29037CRITICALDefault secret use for initial deploymentEPSS 0.6%CVE-2023-6451HIGHPublicly Known Cryptographic Machine Key In Procura Portal ApplicationEPSS 0.5%CVE-2026-119660CRITICALMuseBot before 2.0.0 Authentication Bypass via Hard-Coded Session KeyEPSS 0.5%CVE-2025-41742CRITICALSprecher Automation: SPRECON-E series has a critical vulnerability due to the use of static cryptographic keys in system componentsEPSS 0.5%CVE-2026-75870CRITICALPunk versions before 0.18 for Perl allow session cookie forgery via an empty default HMAC key when a session is declared without a secretEPSS 0.5%CVE-2025-41744CRITICALSprecher Automation: SPRECON-E series has static default key material for TLS connectionsEPSS 0.4%CVE-2024-1275CRITICALVulnerability in Baxter Welch Allyn Connex Spot MonitorEPSS 0.4%CVE-2026-111367MEDIUMBillionMail through 4.9 Forgeable JWTs via Default Signing KeyEPSS 0.3%CVE-2026-2215MEDIUMrachelos WeRSS we-mp-rss JWT auth.py default keyEPSS 0.3%CVE-2026-107177HIGHExpress Gateway through 1.16.11 Hardcoded Default cipherKey Exposes OAuth TokensEPSS 0.3%CVE-2025-55049CRITICALUse of Default Cryptographic Key (CWE-1394)EPSS 0.3%CVE-2024-10748LOWCosmote Greece What's Up App Realm Database RealmDB.java default keyEPSS 0.3%CVE-2025-26849MEDIUMThere is a Hard-coded Cryptographic Key in Docusnap 13.0.1440.24261, and earlier and later versions. This key can be used to decrypt inventoEPSS 0.2%CVE-2025-1688MEDIUMSystem configuration password resetEPSS 0.2%CVE-2026-54887MEDIUMDTLS server cookie bypass during startup window due to empty initial cookie secretEPSS 0.2%