Falhas do tipo CWE-206
1 resultadoDiscrepância de comportamento interno observável
É quando o software revela informações internas diferentes dependendo de certas condições, permitindo que um atacante infira dados sensíveis através da observação de respostas ou comportamentos distintos. Por exemplo, mensagens de erro diferentes, tempos de resposta variáveis ou códigos HTTP específicos que expõem detalhes da lógica interna.
Uma API retorna 'Usuário não encontrado' ou 'Senha incorreta' em mensagens separadas; um atacante usa isso para enumerar contas válidas testando qual mensagem recebe. Ou um serviço processa requisições legítimas em 50ms mas requisições inválidas em 500ms, vazando informações via timing attack.
Padronize respostas de erro — use mensagens genéricas ('Credenciais inválidas' em vez de apontar se existe o usuário), adicione jitter aleatório em tempos de resposta e trate erros internos de forma consistente independentemente do cenário específico que os gerou.