Falhas do tipo CWE-235

4 resultados

Tratamento inadequado de parâmetros extras

Ocorre quando uma aplicação não valida ou ignora parâmetros adicionais enviados pelo usuário além dos esperados. O código processa apenas os parâmetros conhecidos, deixando os extras passarem despercebidos, o que pode permitir bypass de validações, injeção de lógica maliciosa ou manipulação de comportamento da aplicação.

Exemplo

Um formulário de login espera 'usuario' e 'senha', mas um atacante envia também 'is_admin=true' como parâmetro extra. Se a aplicação não validar rigorosamente quais parâmetros são aceitos, pode acidentalmente processar esse parâmetro malicioso e alterar o fluxo de autenticação.

Como mitigar

Implemente whitelist explícita de parâmetros esperados; rejeite ou registre qualquer parâmetro fora dessa lista. Use frameworks que forçam validação de entrada (como validadores de schema) e revise logs de requisições para detectar padrões de abuso.

CVE-2017-20160MEDIUMflitto express-param fetchParams.js parameter pollutionEPSS 0.8%CVE-2024-47651HIGHParameter Pollution VulnerabilityEPSS 0.4%CVE-2026-27851HIGHWhen safe filter is used with variable expansion, all following pipelines on the same string are incorrectly interpreted as safe too, enabliEPSS 0.4%CVE-2026-20083MEDIUMA vulnerability in the Secure Copy Protocol (SCP) server feature of Cisco IOS XE Software could allow an authenticated, local attacker with EPSS 0.1%