Falhas do tipo CWE-1395

56 resultados

Dependência de Componente Terceirizado Vulnerável

Ocorre quando uma aplicação depende de uma biblioteca, framework ou componente externo que contém vulnerabilidades conhecidas e não corrigidas. O risco é que qualquer falha de segurança no componente terceirizado se propaga automaticamente para toda aplicação que o utiliza, sem que o desenvolvedor precise fazer nada — basta estar usando a versão afetada.

Exemplo

Uma API Node.js usa a versão 2.5.0 da biblioteca 'express-validator' que tem RCE documentada. Mesmo que o código da API esteja bem escrito, um atacante explora a vulnerabilidade no validator e consegue executar comandos no servidor. O time de desenvolvimento sequer precisava conhecer esse detalhe — a falha está lá, herdada.

Como mitigar

Mantenha sempre um inventário (SBOM) das dependências e suas versões, configure alertas de CVE para components já em uso, aplique patches regularmente, e revise periodicamente quais bibliotecas são realmente necessárias. Ferramentas como 'npm audit', 'pip-audit' ou 'OWASP Dependency-Check' automatizam a detecção.

CVE-2024-6121HIGHNI SystemLink Server Ships Out of Date Redis VersionEPSS 0.3%CVE-2025-15444CRITICALCrypt::Sodium::XS module versions prior to 0.000042, for Perl, include a vulnerable version of libsodiumEPSS 0.3%CVE-2026-105642HIGHGhost: Remote Code Execution via Bookmark Card ImagesEPSS 0.3%CVE-2026-115946—XS::libbrotli versions before 1.2.1.0 for Perl bundle a brotli library with an out-of-bounds write in the decoderEPSS 0.2%CVE-2026-117611HIGHTrust of compromised eMudhra root CA in bundled CA storesEPSS 0.2%CVE-2026-8993MEDIUMImproper URL Handler Processing in D.Launcher 2 enables NTLM Credential Disclosure and SSRF attacksEPSS 0.2%CVE-2025-59851LOWHCL DFXAnalytics is affected by an Insecure Security Header configuration vulnerabilityEPSS 0.2%CVE-2025-13823HIGHMicro820®, Micro850®, Micro870® – Specialized Fuzzing VulnerabilitiesEPSS 0.2%CVE-2026-90455MEDIUMDependency on vulnerable third-party component in MalcolmEPSS 0.2%CVE-2024-12740HIGHDependency on Vulnerable Third-Party Component exposes Vulnerabilities in NI Vision SoftwareEPSS 0.2%CVE-2025-31973MEDIUMHCL BigFix Service Management (SM) is susceptible to a Configuration – 'Insecure Use of Base Image Version'EPSS 0.2%CVE-2026-47906HIGHDreamweaver Desktop | Dependency on Vulnerable Third-Party Component (CWE-1395)EPSS 0.2%CVE-2024-42206LOWHCL iReflection Use of Third party vulnerable and outdated components issue was detected in the web application.EPSS 0.2%CVE-2025-69275HIGHSpectrum outdated java library in class-pathEPSS 0.1%CVE-2025-42927LOWInformation Disclosure due to Outdated OpenSSL Version in SAP NetWeaver AS Java (Adobe Document Service)EPSS 0.1%CVE-2026-114113HIGHSharp before 0.35.0 Multiple Vulnerabilities via Bundled libvips Image DecodersEPSS 0.1%