Falhas do tipo CWE-325

70 resultados

Etapa Criptográfica Obrigatória Omitida

A aplicação implementa um processo criptográfico incompleto, pulando etapas críticas como inicialização de vetores (IV), validação de autenticidade ou geração de chaves. O resultado é um sistema que parece criptografado mas falha na proteção real dos dados, permitindo ataques como descriptografia não autorizada ou falsificação de mensagens.

Exemplo

Um desenvolvedor cria um sistema de senhas onde criptografa dados com AES mas esquece de gerar um IV aleatório a cada operação, sempre usando o mesmo IV codificado. Um atacante consegue descriptografar dados observando padrões nos criptogramas, ou um aplicativo valida assinaturas digitais mas não implementa a verificação final de hash, aceitando qualquer assinatura que tenha o formato correto.

Como mitigar

Revise a implementação criptográfica contra o padrão ou RFC da especificação (NIST, IETF). Use bibliotecas criptográficas estabelecidas (OpenSSL, libsodium, TweetNaCl) em vez de implementação própria, e realize testes de segurança que validem cada etapa do fluxo criptográfico (geração de chaves, IV, MAC/assinatura, verificação).

CVE-2023-40012MEDIUMuthenticode EKU validation bypassEPSS 0.2%CVE-2026-117957HIGHCryptographic issue in the WebRTC: Networking componentEPSS 0.2%CVE-2026-81235HIGHDell Wyse Management Suite, versions prior to 2605.0.3.683, contain a Missing Cryptographic Step vulnerability. A high privileged attacker wEPSS 0.2%CVE-2026-28498HIGHAuthlib: Fail-Open Cryptographic Verification in OIDC Hash BindingEPSS 0.2%CVE-2026-49440HIGHDeno: Miller-Rabin Primality Test Allows Zero RoundsEPSS 0.2%CVE-2026-58638MEDIUMWindows Boot Loader Security Feature Bypass VulnerabilityEPSS 0.2%CVE-2026-96552LOWsfturing hosp_order User Password MD5.java MD5.getMD5 hash without saltEPSS 0.2%CVE-2026-55144HIGHWindows Cryptography API: Next Generation (CNG) Tampering VulnerabilityEPSS 0.2%CVE-2026-16000HIGHKCcmBlockCipher (DSTU 7624 CCM) tag not bound to nonce when no associated data is usedEPSS 0.2%CVE-2026-101294HIGHIBM WebSphere Application Server and WebSphere Application Server Liberty are affected by a missing cryptographic stepEPSS 0.2%CVE-2026-22863CRITICALDeno node:crypto doesn't finalize cipherEPSS 0.2%CVE-2026-6458MEDIUMAES-256-GCM Authentication Tag Does Not Cover First Ciphertext Blocks When AAD Is EmptyEPSS 0.2%CVE-2026-76784HIGHInsufficient Cryptographic Protections in Local Device Communication Protocol on Multiple TP-Link Kasa Smart Home DevicesEPSS 0.2%CVE-2026-100798HIGHCryptography misuse in Storage: Quota Manager componentEPSS 0.2%CVE-2026-17666CRITICALCryptographic Flaw in Enterprise in Google Chrome prior to 151.0.7922.72 allowed an attacker in a privileged network position to bypass discEPSS 0.2%CVE-2026-59776HIGHMissing Cryptographic Step (CWE-325) vulnerability exists in certain FeliCa IC chips shipped in or before 2017. If the vulnerability is explEPSS 0.2%CVE-2026-48480MEDIUMnetty-incubator-codec-ohttp OHttpVersionChunkDraft's Missing Final-Chunk Enforcement Leads to Undetected Stream TruncationEPSS 0.2%CVE-2015-20112LOWRLPx 5 has two CTR streams based on the same key, IV, and nonce. This can facilitate decryption on a private network.EPSS 0.2%CVE-2025-49600MEDIUMIn MbedTLS 3.3.0 before 3.6.4, mbedtls_lms_verify may accept invalid signatures if hash computation fails and internal errors go unchecked, EPSS 0.2%CVE-2026-41395HIGHOpenClaw < 2026.3.28 - Webhook Replay via Query Parameter Reordering in Plivo V3EPSS 0.1%