Falhas do tipo CWE-150

81 resultados

Neutralização inadequada de sequências de escape, meta ou controle

Ocorre quando a aplicação falha em neutralizar ou validar adequadamente sequências de escape, caracteres de controle ou sequências meta antes de processar, exibir ou passar dados para outro sistema. Um atacante injeta sequências especiais (como ANSI, HTML entities, ou comandos de shell) que são interpretadas literalmente pelo sistema receptador, levando a comportamentos não intencionais — desde falha de validação até execução de código.

Exemplo

Um formulário web aceita entrada do usuário e a insere diretamente em um log ou terminal sem escapar caracteres. O atacante envia sequências ANSI escape codes que modificam a saída do terminal, ocultando logs maliciosos ou alterando a exibição. Outro cenário: entrada inserida em SQL sem sanitização permite que caracteres de controle burlem filtros de WAF.

Como mitigar

Implemente whitelist rigorosa de caracteres aceitos para cada contexto (terminal, SQL, HTML, JSON). Use bibliotecas estabelecidas de encoding/escaping apropriadas ao contexto final dos dados. Valide e sanitize todas as entradas externas antes de qualquer processamento ou saída, e aplique o princípio de least privilege para limitar danos em caso de bypass.

CVE-2024-9774MEDIUMPython-sql: python-sql unary operators does not escape non-expressionEPSS 0.7%CVE-2024-32986CRITICALArbitrary code execution due to improper sanitization of web app properties in PWAsForFirefox EPSS 0.7%CVE-2025-0975HIGHIBM MQ code executionEPSS 0.7%CVE-2023-40185MEDIUMShescape on Windows escaping may be bypassed in threaded contextEPSS 0.7%CVE-2024-50349LOWGit does not sanitize URLs when asking for credentials interactivelyEPSS 0.7%CVE-2026-21521HIGHWord Copilot Information Disclosure VulnerabilityEPSS 0.6%CVE-2025-55193LOWActive Record logging vulnerable to ANSI escape injectionEPSS 0.6%CVE-2026-25996MEDIUMInspektor Gadget uses unsanitized ANSI Escape Sequences In `columns` Output ModeEPSS 0.6%CVE-2026-62948CRITICALOpenWrt odhcpd/LuCI: unauthenticated DHCPv6 client can inject lease-file lines via FQDN hostname → stored XSS in the LuCI admin UIEPSS 0.6%CVE-2026-11373CRITICALNet::Statsite::Client versions through 1.1.0 for Perl allow metric injectionsEPSS 0.6%CVE-2026-26149CRITICALMicrosoft Power Apps Desktop Client Spoofing VulnerabilityEPSS 0.6%CVE-2026-73414CRITICALShescape: Shell injection via unescaped parentheses on Windows with CMDEPSS 0.5%CVE-2024-52005HIGHThe sideband payload is passed unfiltered to the terminal in gitEPSS 0.5%CVE-2026-49147HIGHApp::Ack versions through 3.10.0 for Perl print unsanitised terminal escape sequences from filenames in several output modesEPSS 0.5%CVE-2025-47284CRITICALGardener vulnerable to metadata injection for a project secret that can lead to privilege escalationEPSS 0.4%CVE-2026-11362CRITICALDataDog::DogStatsd versions through 0.07 for Perl allow metric injections from event tagsEPSS 0.4%CVE-2026-82710LOWTerminal escape sequence injection in mix usage_rules.search_docs via package documentation metadataEPSS 0.4%CVE-2026-46720HIGHNet::Statsd::Tiny versions before 0.3.8 for Perl allowed metric injectionsEPSS 0.3%CVE-2026-50638CRITICALMetrics::Any::Adapter::DogStatsd versions before 0.04 for Perl does not protect against metric injectionsEPSS 0.3%CVE-2026-21439LOWbadkeys vulnerable to ASCII control character injection on console via malformed inputEPSS 0.3%