Falhas do tipo CWE-295

1.020 resultados

Validação inadequada de certificado SSL/TLS

A aplicação não valida corretamente o certificado SSL/TLS do servidor remoto, aceitando certificados inválidos, expirados ou emitidos por autoridades não confiáveis. Isso permite que um atacante em posição de intermediário (man-in-the-middle) intercepte a comunicação criptografada e acesse dados sensíveis que deveriam estar protegidos.

Exemplo

Uma aplicação mobile conecta a uma API via HTTPS mas ignora erros de validação de certificado (ou desabilita a verificação para 'facilitar testes'). Um atacante na mesma rede WiFi consegue interceptar requisições, roubar tokens de autenticação ou credenciais do usuário.

Como mitigar

Sempre validar o certificado do servidor (hostname, cadeia de confiança, data de validade). Em desenvolvimento, use certificados válidos mesmo em ambientes de teste; nunca desabilite validação em produção. Considere certificate pinning para APIs críticas, fixando o certificado esperado na aplicação.

CVE-2022-39948MEDIUMAn improper certificate validation vulnerability [CWE-295] in FortiOS 7.2.0 through 7.2.3, 7.0.0 through 7.0.7, 6.4 all versions, 6.2 all veEPSS 0.3%CVE-2023-33760MEDIUMSpliceCom Maximiser Soft PBX v1.5 and before was discovered to utilize a default SSL certificate. This issue can allow attackers to eavesdroEPSS 0.3%CVE-2025-22486HIGHFile Station 5EPSS 0.3%CVE-2025-29885HIGHFile Station 5EPSS 0.3%CVE-2026-50166MEDIUMKuma: kumactl connects to control plane without verifying TLS certificate when no CA is configuredEPSS 0.3%CVE-2025-29884HIGHFile Station 5EPSS 0.3%CVE-2025-33031HIGHFile Station 5EPSS 0.3%CVE-2025-29883HIGHFile Station 5EPSS 0.3%CVE-2025-30279HIGHFile Station 5EPSS 0.3%CVE-2024-35299MEDIUMIn JetBrains YouTrack before 2024.1.29548 the SMTPS protocol communication lacked proper certificate hostname validationEPSS 0.3%CVE-2023-22642MEDIUMAn improper certificate validation vulnerability [CWE-295] in FortiAnalyzer and FortiManager 7.2.0 through 7.2.1, 7.0.0 through 7.0.5, 6.4.8EPSS 0.3%CVE-2026-103921HIGHGraphQL Tools: TLS Certificate Validation Disabled in Legacy GraphQL WebSocket ExecutorEPSS 0.3%CVE-2026-85221HIGHMISP CurlClient TLS Peer Verification Disabled by Default Enables Man-in-the-Middle AttacksEPSS 0.3%CVE-2026-100835CRITICALContrast before 1.16.0 Remote Attestation Relay AttackEPSS 0.3%CVE-2025-54809HIGHF5 Access for Android vulnerabilityEPSS 0.3%CVE-2026-107685CRITICALWebSocket sessions do not verify TLS certificates, exposing API keys and OAuth tokens to on-path attackersEPSS 0.3%CVE-2026-17332HIGHMultiple Vulnerabilities in IBM API ConnectEPSS 0.3%CVE-2026-18717CRITICALImproper Certificate Validation in ASE 2000EPSS 0.3%CVE-2026-78491HIGHDell SCG 5.0 Appliance versions prior to 5.36.00.16 and Dell SCG 5.0 Application versions prior to 5.36.00.00, contains an Improper CertificEPSS 0.3%CVE-2024-39312MEDIUMBotan has an Authorization Error due to Name Constraint Decoding BugEPSS 0.3%