Falhas do tipo CWE-150

93 resultados

Neutralização inadequada de sequências de escape, meta ou controle

Ocorre quando a aplicação falha em neutralizar ou validar adequadamente sequências de escape, caracteres de controle ou sequências meta antes de processar, exibir ou passar dados para outro sistema. Um atacante injeta sequências especiais (como ANSI, HTML entities, ou comandos de shell) que são interpretadas literalmente pelo sistema receptador, levando a comportamentos não intencionais — desde falha de validação até execução de código.

Exemplo

Um formulário web aceita entrada do usuário e a insere diretamente em um log ou terminal sem escapar caracteres. O atacante envia sequências ANSI escape codes que modificam a saída do terminal, ocultando logs maliciosos ou alterando a exibição. Outro cenário: entrada inserida em SQL sem sanitização permite que caracteres de controle burlem filtros de WAF.

Como mitigar

Implemente whitelist rigorosa de caracteres aceitos para cada contexto (terminal, SQL, HTML, JSON). Use bibliotecas estabelecidas de encoding/escaping apropriadas ao contexto final dos dados. Valide e sanitize todas as entradas externas antes de qualquer processamento ou saída, e aplique o princípio de least privilege para limitar danos em caso de bypass.

CVE-2026-35651MEDIUMOpenClaw 2026.2.13 < 2026.3.25 - ANSI Escape Sequence Injection in Approval PromptEPSS 0.3%CVE-2026-46739MEDIUMNet::Statsd versions before 0.13 for Perl allow metric injectionsEPSS 0.3%CVE-2026-54162MEDIUMEmber: Unneutralised terminal escape/control sequences from Caddy logs injected into the operator's TUIEPSS 0.3%CVE-2026-8788HIGHNet::Statsd::Lite versions through 0.10.0 for Perl allowed metric injectionsEPSS 0.2%CVE-2025-1693LOWMongoDB Shell may be susceptible to control character Injection via shell outputEPSS 0.2%CVE-2026-6019LOWBaseCookie.js_output() does not neutralize embedded charactersEPSS 0.2%CVE-2026-72913HIGHKitty: Command injection into the child shell via chained @kitty-echo + @kitty-ssh DCS escape sequencesEPSS 0.2%CVE-2026-45803LOWgh: GitHub Actions log output in `gh run view` allows terminal escape sequence injectionEPSS 0.2%CVE-2026-8722MEDIUMNet::Async::Statsd::Client versions through 0.005 for Perl allow metric injectionsEPSS 0.2%CVE-2024-43785LOWgitoxide-core does not neutralize special characters for terminalsEPSS 0.2%CVE-2025-62845MEDIUMQuRouterEPSS 0.2%CVE-2025-64494MEDIUMSoft Serve does not sanitize ANSI escape sequences in user inputEPSS 0.2%CVE-2026-55467LOWCUPS fax option values bypass the CVE-2026-34980 control-character sanitizer (incomplete fix)EPSS 0.2%CVE-2026-103431HIGHCollectl: collectl: colmux does not sanitize ansi/vt100 terminal escape sequences in data received from remote collectl instancesEPSS 0.2%CVE-2026-73506MEDIUMOh My Posh: Terminal escape sequence injection via unsanitized prompt segment dataEPSS 0.2%CVE-2024-58251LOWIn netstat in BusyBox through 1.37.0, local users can launch of network application with an argv[0] containing an ANSI terminal escape sequeEPSS 0.2%CVE-2026-45038HIGHTabby: Dragging and Dropping a File into Tabby Can Lead to Code ExecutionEPSS 0.2%CVE-2026-73036MEDIUMBash-it barbuk Theme 3.2.0 Terminal Escape Sequence Injection via pyproject.tomlEPSS 0.2%CVE-2025-15311HIGHTanium addressed an unauthorized code execution vulnerability in Tanium Appliance.EPSS 0.2%CVE-2026-54057HIGHKitty vulnerable to command injection via unsanitized OSC 21 query replyEPSS 0.2%