Falhas do tipo CWE-212

88 resultados

Divulgação não intencional de informações sensíveis

A aplicação expõe dados confidenciais (senhas, tokens, chaves, dados pessoais) através de canais ou contextos onde não deveriam estar acessíveis. O risco está em um invasor conseguir essas informações sem autenticação ou autorização adequadas, comprometendo a confidencialidade do sistema.

Exemplo

Uma API retorna a senha hash do usuário em resposta de erro, ou logs de produção contêm tokens de API visíveis em páginas de diagnóstico não protegidas, ou cookies de sessão aparecem em URLs refletidas em mensagens de erro.

Como mitigar

Implemente sanitização rigorosa de saídas (erros, logs, respostas HTTP), nunca exponha dados sensíveis em mensagens de erro ou debug, restrinja acesso a ferramentas diagnósticas com autenticação forte e revise regularmente logs e responses da API para dados confidenciais.

CVE-2025-20118MEDIUMCisco Application Policy Infrastructure Controller Authenticated Command Injection Due to Sensitive Disclosure VulnerabilityEPSS 0.2%CVE-2026-36178MEDIUMThe factory reset functionality in GNCC GP5 v7.1.76 fails to clear sensitive cryptographic material in the JFFS2 configuration partition, poEPSS 0.1%CVE-2026-17511LOWThis Power System update is being released to addressEPSS 0.1%CVE-2024-5300MEDIUMAppArmor Base Profile Misconfiguration in snapd Permits Confined Snaps Unauthorized Access to Hashed Passwords via systemd-userdbdEPSS 0.1%CVE-2026-115363LOWOpenBao 2.2.0 before 2.6.4 and 2.7.0 before 2.7.1 ACME EAB MAC Key Disclosure via Sanitized ConfigurationEPSS 0.1%CVE-2026-45046MEDIUMGryph Agents Payload Filter Fails to Strip Tool Payload for Sensitive ContentEPSS 0.1%CVE-2026-15811MEDIUMKronosnet: kronosnet: encryption key exposure in memory after cryptographic configuration changesEPSS 0.1%CVE-2026-120415MEDIUMundici vulnerable to cross-origin credential disclosure via array-of-tuples headers bypassing redirect strippingEPSS —