Falhas do tipo CWE-178

117 resultados

Tratamento inadequado de sensibilidade a maiúsculas/minúsculas

Ocorre quando o código não trata corretamente diferenças entre maiúsculas e minúsculas em strings, permitindo que um atacante contorne validações, filtros de segurança ou lógica de autorização. Por exemplo, se um firewall bloqueia 'admin.php' mas aceita 'ADMIN.PHP', a proteção é burlada.

Exemplo

Uma aplicação valida extensões bloqueadas comparando contra lista em minúsculas (.exe, .bat), mas o usuário faz upload de 'arquivo.EXE' ou 'arquivo.ExE' que passa pela validação por falta de normalização da entrada antes da comparação.

Como mitigar

Normalize todas as strings para um padrão único (toLowerCase() ou toUpperCase()) antes de qualquer comparação de segurança. Sempre considere o contexto do sistema operacional ou banco de dados — Windows ignora case em caminhos, mas Linux não — e aplique as mesmas regras que o ambiente subjacente usa.

CVE-2026-47346HIGHTYPO3 CMS - Broken Access Control in Form FrameworkEPSS 0.3%CVE-2026-86472MEDIUMfast-uri vulnerable to inconsistent host case normalization via percent-encoded octetsEPSS 0.3%CVE-2026-109841MEDIUMundici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokensEPSS 0.3%CVE-2026-54763HIGHTraefik: headerField underscore-variant identity spoofing in BasicAuth / DigestAuth / ForwardAuthEPSS 0.2%CVE-2026-44367LOWKlaw: user lockout due to case sensitivity inconsistencyEPSS 0.2%CVE-2026-111448LOWWheels 4.0.0 through 4.1.2 uses case-insensitive comparisons in path-containment checks on case-sensitive filesystems. Canonical-path checksEPSS 0.2%CVE-2026-57441HIGHMCPVault: PathFilter restricted-directory deny-list bypass via case and trailing dot/space equivalenceEPSS 0.2%CVE-2026-57234LOWNokogiri: XML::Schema on JRuby allows network requests when NONET is set, bypassing CVE-2020-26247EPSS 0.2%CVE-2026-63121MEDIUMKubewarden trusted-repos-policy: uppercase registry host bypasses registry/image deny rulesEPSS 0.2%CVE-2026-106497MEDIUMBackstage: Inconsistent catalog property permission evaluationEPSS 0.2%CVE-2021-48006MEDIUMPocketMine-MP before 4.0.3 Operator Privilege Escalation via Case SensitivityEPSS 0.2%CVE-2026-100693HIGHHugo v0.162.0 before v0.166.0 IP-literal Deny Rule BypassEPSS 0.1%CVE-2026-3532MEDIUMOpenID Connect / OAuth client - Less critical - Access bypass - SA-CONTRIB-2026-027EPSS 0.1%CVE-2026-108721MEDIUMOpen Computer Use through 1.0.0 Denylist Bypass via Case-Variant Bundle IDEPSS 0.1%CVE-2026-105570MEDIUMDocker Sandboxes OAuth response masking could be bypassed with a case-variant token hostEPSS 0.1%CVE-2026-17409CRITICALMultiple Vulnerabilities in IBM API ConnectEPSS —CVE-2026-17085MEDIUMMultiple Vulnerabilities in IBM API ConnectEPSS —