Falhas do tipo CWE-178

117 resultados

Tratamento inadequado de sensibilidade a maiúsculas/minúsculas

Ocorre quando o código não trata corretamente diferenças entre maiúsculas e minúsculas em strings, permitindo que um atacante contorne validações, filtros de segurança ou lógica de autorização. Por exemplo, se um firewall bloqueia 'admin.php' mas aceita 'ADMIN.PHP', a proteção é burlada.

Exemplo

Uma aplicação valida extensões bloqueadas comparando contra lista em minúsculas (.exe, .bat), mas o usuário faz upload de 'arquivo.EXE' ou 'arquivo.ExE' que passa pela validação por falta de normalização da entrada antes da comparação.

Como mitigar

Normalize todas as strings para um padrão único (toLowerCase() ou toUpperCase()) antes de qualquer comparação de segurança. Sempre considere o contexto do sistema operacional ou banco de dados — Windows ignora case em caminhos, mas Linux não — e aplique as mesmas regras que o ambiente subjacente usa.

CVE-2026-66883MEDIUMOidcc.Plug.Authorize user agent session binding inert due to case-sensitive header lookupEPSS 0.4%CVE-2026-25889MEDIUMFile Browser has an Authentication Bypass in User Password UpdateEPSS 0.4%CVE-2026-100580HIGHOpenClaw before 2026.7.1 Remote Code Execution via cron toolEPSS 0.3%CVE-2026-55170LOWOpenFGA MySQL backend: case-insensitive collation on identifier columns causes incorrect authorization decisionsEPSS 0.3%CVE-2026-22665HIGHprompts.chat Identity Confusion via Case-Sensitive Username HandlingEPSS 0.3%CVE-2026-87876LOWCups: openprinting cups: remaining case-insensitive username matching in scheduler side paths (cve-2026-27447 follow-up)EPSS 0.3%CVE-2026-123012HIGHIn Gogs 0.14.3, the Git Smart HTTP authorization layer in internal/route/repo/http.go allows a push when only read access was intended, a diEPSS 0.3%CVE-2026-18660HIGHJetty proxy blacklist performs case-sensitive matching of case-insensitive DNS hostnamesEPSS 0.3%CVE-2025-67718HIGHFormio improperly authorized permission elevation through specially crafted request pathEPSS 0.3%CVE-2026-84303MEDIUMgRPC-Go: xDS RBAC HTTP Filter bypass via mixed-case Header Matching and gRFC A41 validation evasionEPSS 0.3%CVE-2026-100541HIGHOpenClaw Matrix before 2026.8.1 Authorization Bypass via Case FoldingEPSS 0.3%CVE-2026-108313MEDIUMTanium addressed an incorrect privilege assignment vulnerability in Tanium Server.EPSS 0.3%CVE-2026-42273HIGHHeimdall: Case-sensitive host matching may lead to policy bypassEPSS 0.3%CVE-2026-73476MEDIUMExternal Authentication - Moderately critical - Access bypass - SA-CONTRIB-2026-098EPSS 0.3%CVE-2026-89322HIGHVault ACL Policy Evaluation May Allow Bypass of Deny RestrictionsEPSS 0.3%CVE-2026-27896HIGHMCP Go SDK Vulnerable to Improper Handling of Case SensitivityEPSS 0.3%CVE-2026-85287MEDIUMHomeBox: Email Case-Sensitivity Bypass Allows Duplicate Account Creation and Login Denial of ServiceEPSS 0.3%CVE-2026-8404LOWPotential exposure of private data via case-sensitive Cache-Control directives in UpdateCacheMiddlewareEPSS 0.3%CVE-2026-46392HIGHHAX CMS PHP Has a Stored XSS via Case-Sensitivity Mismatch in HTML Upload ValidationEPSS 0.3%CVE-2026-107832LOWfastify vulnerable to header validation bypass via case-sensitive propertyNamesEPSS 0.3%