Falhas do tipo CWE-15

81 resultados

Controle externo de configurações do sistema

Ocorre quando a aplicação permite que um atacante modifique configurações críticas do sistema ou da aplicação através de entrada não validada (variáveis de ambiente, arquivos de config, parâmetros HTTP, etc.). O perigo é que o invasor pode desabilitar proteções de segurança, redirecionar fluxos de dados sensíveis, ou alterar o comportamento da aplicação para proveito próprio.

Exemplo

Uma aplicação que lê a variável de ambiente 'DB_HOST' diretamente sem validação para conectar ao banco de dados. Um atacante que consegue controlar essa variável (injeção em arquivo .env ou deployment) redireciona a conexão para um servidor malicioso, capturando credenciais ou injetando dados falsos.

Como mitigar

Valide e sanitize todas as fontes de configuração externas; use listas brancas de valores aceitos; implemente verificações de integridade (checksums/assinatura digital) para arquivos de config críticos; minimize permissões para leitura/escrita de variáveis de ambiente e arquivos de configuração; prefira injeção de dependência e valores padrão seguros em vez de carregar config de fontes não confiáveis.

CVE-2026-16708HIGHIBM Db2 Mirror for i is affected by multiple vulnerabilitiesEPSS 0.2%CVE-2023-32076MEDIUMin-toto vulnerable to Configuration Read From Local DirectoryEPSS 0.2%CVE-2021-31338—A vulnerability has been identified in SINEMA Remote Connect Client (All versions < V3.0 SP1). Affected devices allow to modify configuratioEPSS 0.2%CVE-2025-27253MEDIUMA CWE-15 "External Control of System or Configuration Setting" in GE Vernova UR IED family devices from version 7.0 up to 8.60 allows an attEPSS 0.2%CVE-2026-22750HIGHSSL bundle configuration silently bypassed in Spring Cloud GatewayEPSS 0.2%CVE-2026-43531HIGHOpenClaw < 2026.4.9 - Environment Variable Injection via Workspace .env FileEPSS 0.2%CVE-2023-6154HIGHLocal privilege escalation in Bitdefender Total Security (VA-11168)EPSS 0.2%CVE-2026-1784HIGHOse-cluster-ingress-operator: remote code execution through haproxy configuration injectionEPSS 0.2%CVE-2026-33092HIGHLocal privilege escalation due to improper handling of environment variables. The following products are affected: Acronis True Image OEM (mEPSS 0.2%CVE-2026-0495MEDIUMMultiple vulnerabilities in SAP Fiori App (Intercompany Balance Reconciliation)EPSS 0.2%CVE-2025-0425HIGHLocal Privilege Escalation via Config ManipulationEPSS 0.2%CVE-2025-64726HIGHExternal Control of System or Configuration Setting and Uncontrolled Search Path Element in sfwEPSS 0.1%CVE-2026-0232MEDIUMCortex XDR Agent: Local Administrator can disable the agent on WindowsEPSS 0.1%CVE-2026-41384HIGHOpenClaw < 2026.3.24 - Environment Variable Injection via Workspace Config in CLI BackendEPSS 0.1%CVE-2026-85217HIGHMan-in-the-Middle (MITM) Vulnerability in Autodesk Fusion DesktopEPSS 0.1%CVE-2026-41489HIGHPi-hole: Local privilege escalation via config-controlled path in root-executed service hooksEPSS 0.1%CVE-2026-19884HIGHIn Eclipse Theia versions up to and including 1.69.0, opening a folder starts source control integration without requiring the user to trustEPSS 0.1%CVE-2026-41294HIGHOpenClaw < 2026.3.28 - Environment Variable Injection via CWD .env FileEPSS 0.1%CVE-2026-21422LOWDell PowerScale OneFS, versions 9.10.0.0 through 9.13.1.0, contains an external control of system or configuration setting vulnerability. A EPSS 0.1%CVE-2026-19592HIGHOpenAI Codex CLI for Windows, macOS, and Linux and Codex Desktop for Windows and macOS automatically collected Git repository metadata withoEPSS 0.1%