Falhas do tipo CWE-179

7 resultados

Validação prematura ou incompleta de entrada

O software valida dados de entrada em um ponto muito cedo do fluxo ou de forma incompleta, permitindo que dados malformados ou maliciosos passem por verificações posteriores. Isso ocorre porque a validação não cobre todos os estados possíveis da entrada ou é feita antes de transformações que alteram o significado dos dados.

Exemplo

Um aplicativo valida se uma URL começa com 'https://' no início da requisição, mas depois a descodifica URL-encoding ou remove caracteres especiais, permitindo um atacante contornar a validação usando 'https%3a//ataque.com' ou variações similares.

Como mitigar

Valide dados apenas após todas as transformações e canonicalizações necessárias; use listas brancas de valores aceitos ao invés de verificações de padrão; valide na camada mais próxima do uso final, não apenas na entrada.

CVE-2022-1271HIGHAn arbitrary file write vulnerability was found in GNU gzip's zgrep utility. When zgrep is applied on the attacker's chosen file name (for eEPSS 4.3%CVE-2026-25223HIGHFastify's Content-Type header tab character allows body validation bypassEPSS 0.8%CVE-2026-3832LOWGnutls: gnutls: security bypass allows acceptance of revoked server certificates via crafted ocsp responseEPSS 0.7%CVE-2026-32305HIGHTraefik mTLS bypass via fragmented ClientHello SNI extraction failureEPSS 0.4%CVE-2025-4759MEDIUMVersions of the package lockfile-lint-api before 5.9.2 are vulnerable to Incorrect Behavior Order: Early Validation via the resolved attribuEPSS 0.4%CVE-2024-41686HIGHPassword Policy Bypass VulnerabilityEPSS 0.2%CVE-2026-49414HIGHASLR bypass for setuid executables via procctl(2)EPSS 0.1%