Falhas do tipo CWE-295

1.017 resultados

Validação inadequada de certificado SSL/TLS

A aplicação não valida corretamente o certificado SSL/TLS do servidor remoto, aceitando certificados inválidos, expirados ou emitidos por autoridades não confiáveis. Isso permite que um atacante em posição de intermediário (man-in-the-middle) intercepte a comunicação criptografada e acesse dados sensíveis que deveriam estar protegidos.

Exemplo

Uma aplicação mobile conecta a uma API via HTTPS mas ignora erros de validação de certificado (ou desabilita a verificação para 'facilitar testes'). Um atacante na mesma rede WiFi consegue interceptar requisições, roubar tokens de autenticação ou credenciais do usuário.

Como mitigar

Sempre validar o certificado do servidor (hostname, cadeia de confiança, data de validade). Em desenvolvimento, use certificados válidos mesmo em ambientes de teste; nunca desabilite validação em produção. Considere certificate pinning para APIs críticas, fixando o certificado esperado na aplicação.

CVE-2025-23114CRITICALA vulnerability in Veeam Updater component allows Man-in-the-Middle attackers to execute arbitrary code on the affected server. This issue oEPSS 0.6%CVE-2022-41243HIGHJenkins SmallTest Plugin 1.0.4 and earlier does not perform hostname validation when connecting to the configured View26 server that could bEPSS 0.6%CVE-2013-10001MEDIUMHTC One/Sense Mail Client certificate validationEPSS 0.6%CVE-2026-43869HIGHApache Thrift: TSSLTransportFactory.java hostname verificationEPSS 0.6%CVE-2024-29733LOWApache Airflow FTP Provider: FTP_TLS instance with unverified SSL contextEPSS 0.6%CVE-2024-25141CRITICALApache Airflow Mongo Provider: Certificate validation isn't respected even if SSL is enabled for apache-airflow-providers-mongoEPSS 0.6%CVE-2014-8164—A insecure configuration for certificate verification (http.verify_mode = OpenSSL::SSL::VERIFY_NONE) may lead to verification bypass in Red EPSS 0.6%CVE-2026-106072MEDIUMA flaw in Node.js TLS hostname verification allows a certificate with only a DNS SAN to authenticate an IP endpoint when the client connectsEPSS 0.6%CVE-2024-13990CRITICALMicroWorld eScan AV Insecure Update Mechanism Allows Man-in-the-Middle Replacement of UpdatesEPSS 0.6%CVE-2012-0955MEDIUMsoftware-properties incorrectly validated TLS certificatesEPSS 0.6%CVE-2026-118147HIGHVisual Studio Spoofing VulnerabilityEPSS 0.6%CVE-2026-11564CRITICALNative CA trust persistEPSS 0.6%CVE-2026-87865HIGHknownhost callback mismatches key as missingEPSS 0.6%CVE-2020-5367HIGHDell EMC Unisphere for PowerMax versions prior to 9.1.0.17, Dell EMC Unisphere for PowerMax Virtual Appliance versions prior to 9.1.0.17, anEPSS 0.6%CVE-2023-23131HIGHSelfwealth iOS mobile App 3.3.1 is vulnerable to Insecure App Transport Security (ATS) Settings.EPSS 0.6%CVE-2019-0054MEDIUMJunos OS: SRX Series: An attacker may be able to perform Man-in-the-Middle (MitM) attacks during app-id signature updates.EPSS 0.6%CVE-2023-41180—Apache NiFi MiNiFi C++: Incorrect Certificate Validation in InvokeHTTP for MiNiFi C++EPSS 0.6%CVE-2026-96222HIGHActive Directory Federation Services (AD FS) Spoofing VulnerabilityEPSS 0.6%CVE-2026-5194CRITICALwolfSSL ECDSA Certificate VerificationEPSS 0.6%CVE-2024-31872HIGHIBM Security Verify Access Appliance missing certificate validationEPSS 0.6%