Falhas do tipo CWE-15

81 resultados

Controle externo de configurações do sistema

Ocorre quando a aplicação permite que um atacante modifique configurações críticas do sistema ou da aplicação através de entrada não validada (variáveis de ambiente, arquivos de config, parâmetros HTTP, etc.). O perigo é que o invasor pode desabilitar proteções de segurança, redirecionar fluxos de dados sensíveis, ou alterar o comportamento da aplicação para proveito próprio.

Exemplo

Uma aplicação que lê a variável de ambiente 'DB_HOST' diretamente sem validação para conectar ao banco de dados. Um atacante que consegue controlar essa variável (injeção em arquivo .env ou deployment) redireciona a conexão para um servidor malicioso, capturando credenciais ou injetando dados falsos.

Como mitigar

Valide e sanitize todas as fontes de configuração externas; use listas brancas de valores aceitos; implemente verificações de integridade (checksums/assinatura digital) para arquivos de config críticos; minimize permissões para leitura/escrita de variáveis de ambiente e arquivos de configuração; prefira injeção de dependência e valores padrão seguros em vez de carregar config de fontes não confiáveis.

CVE-2024-39794CRITICALMultiple external config control vulnerabilities exist in the nas.cgi set_nas() proftpd functionality of Wavlink AC3000 M33A8.V5030.210505. EPSS 1.1%CVE-2021-38453CRITICALAUVESY VersiondogEPSS 1.1%CVE-2021-27406HIGHPerFact OpenVPN-ClientEPSS 1.0%CVE-2024-4326CRITICALRemote Code Execution via `/apply_settings` and `/execute_code` in parisneo/lollms-webuiEPSS 1.0%CVE-2023-4704HIGHExternal Control of System or Configuration Setting in instantsoft/icms2EPSS 0.9%CVE-2026-22708HIGHCursor has a Terminal Tool Allowlist Bypass via Environment VariablesEPSS 0.8%CVE-2025-30512MEDIUMGrowatt Cloud portal External Control of System or Configuration SettingEPSS 0.6%CVE-2026-44417HIGHApache CXF: Incomplete fix for CVE-2025-48913 (Untrusted JMS configuration can lead to RCE)EPSS 0.6%CVE-2024-21583MEDIUMVersions of the package github.com/gitpod-io/gitpod/components/server/go/pkg/lib before main-gha.27122; versions of the package github.com/gEPSS 0.6%CVE-2024-50358HIGHA CWE-15 "External Control of System or Configuration Setting" was discovered affecting the following devices manufactured by Advantech: EKIEPSS 0.5%CVE-2022-41582HIGHThe security module has configuration defects.Successful exploitation of this vulnerability may affect system availability.EPSS 0.5%CVE-2026-35650HIGHOpenClaw < 2026.3.22 - Environment Variable Override Bypass via Inconsistent SanitizationEPSS 0.5%CVE-2026-44774MEDIUMTraefik: Gateway API TraefikService backend accepts rest@internal, allowing unauthorized exposure of the REST provider despite providers.rest.insecure=falseEPSS 0.5%CVE-2025-27889LOWWing FTP Server before 7.4.4 does not properly validate and sanitize the url parameter of the downloadpass.html endpoint, allowing injectionEPSS 0.4%CVE-2026-46485HIGHDash: Users can write to config despire permissions (OIDC tested)EPSS 0.4%CVE-2019-25716HIGHDräger Infinity Delta/Kappa Patient Monitor DoS via Malformed Network PacketEPSS 0.4%CVE-2026-22177MEDIUMOpenClaw < 2026.2.21 - Environment Variable Injection via Config env.varsEPSS 0.4%CVE-2026-27203HIGHeBay API MCP Server Affected by Environment Variable InjectionEPSS 0.4%CVE-2023-3321HIGHCode Execution through Writable Mosquitto Configuration FileEPSS 0.4%CVE-2026-13745HIGHArbitrary Code Execution in Gemini CLI via Untrusted Local .env Files Overriding GEMINI_CLI_HOMEEPSS 0.4%