Falhas do tipo CWE-320

64 resultados

Erros na gestão de chaves criptográficas

É quando a aplicação não protege, armazena ou rotaciona corretamente as chaves criptográficas usadas para cifrar dados ou autenticar usuários. Chaves expostas, armazenadas em texto plano ou nunca renovadas permitem que um atacante descriptografe informações sensíveis ou falsifique identidades.

Exemplo

Uma API REST salva sua chave de assinatura JWT no código-fonte ou em arquivo de configuração versionado no Git, permitindo que qualquer pessoa com acesso ao repositório forje tokens válidos e se passe por usuários administrativos.

Como mitigar

Use um gerenciador de segredos (Vault, AWS Secrets Manager, Azure Key Vault) para armazenar chaves fora do código. Implemente rotação automática periódica de chaves e monitore acessos. Nunca commitar credenciais em repositórios — use variáveis de ambiente ou secrets do CI/CD.

CVE-2025-11290MEDIUMCRMEB JWT HMAC Secret hard-coded keyEPSS 0.4%CVE-2026-113466MEDIUMMinIO Embedded Console common-main.go SessionTokenAuthenticate hard-coded keyEPSS 0.4%CVE-2019-12621MEDIUMCisco HyperFlex Static SSL Key VulnerabilityEPSS 0.4%CVE-2025-2220MEDIUMOdyssey CMS reCAPTCHA odyssey_contact_form.php key managementEPSS 0.4%CVE-2024-36391CRITICALMileSight DeviceHub - CWE-320: Key Management ErrorsEPSS 0.4%CVE-2025-14651MEDIUMMartialBE one-hub docker-compose.yml hard-coded keyEPSS 0.4%CVE-2026-7018MEDIUMDatavane Datavines JWT Token TokenManager.java hard-coded keyEPSS 0.3%CVE-2025-13877MEDIUMnocobase JWT Service jwt-service.ts hard-coded keyEPSS 0.3%CVE-2026-7306MEDIUMXuxueli xxl-job OpenAPI Endpoint OpenApiController.java hard-coded keyEPSS 0.3%CVE-2025-13948MEDIUMopsre go-ldap-admin JWT docker-compose.yaml hard-coded keyEPSS 0.3%CVE-2025-15108MEDIUMPandaXGO PandaX JWT Secret config.yml hard-coded keyEPSS 0.3%CVE-2020-1688MEDIUMJunos OS: SRX and NFX Series: Insufficient Web API private key protectionEPSS 0.3%CVE-2026-8243MEDIUMIndustrial Application Software IAS Canias ERP JNLP Deployment Endpoint hard-coded keyEPSS 0.3%CVE-2026-105392MEDIUMLybbn Django-Vue-Lyadmin JWT Signing settings.py hard-coded keyEPSS 0.3%CVE-2026-6580MEDIUMliangliangyy DjangoBlog Amap API Call views.py hard-coded keyEPSS 0.3%CVE-2026-8739MEDIUMSanluan PublicCMS SafeConfigComponent.java getSignKey hard-coded keyEPSS 0.3%CVE-2026-4588MEDIUMkalcaddle kodbox Site-level API key shareOut.class.php shareSafeGroup hard-coded keyEPSS 0.3%CVE-2026-108798MEDIUMZKTeco BioTime hard-coded keyEPSS 0.3%CVE-2026-32897MEDIUMOpenClaw < 2026.2.22 - Authentication Token Reuse in Owner ID Prompt Hashing FallbackEPSS 0.3%CVE-2025-10080LOWrunning-elephant Datart API AESUtil.java getTokensecret hard-coded keyEPSS 0.3%