Falhas do tipo CWE-325

62 resultados

Etapa Criptográfica Obrigatória Omitida

A aplicação implementa um processo criptográfico incompleto, pulando etapas críticas como inicialização de vetores (IV), validação de autenticidade ou geração de chaves. O resultado é um sistema que parece criptografado mas falha na proteção real dos dados, permitindo ataques como descriptografia não autorizada ou falsificação de mensagens.

Exemplo

Um desenvolvedor cria um sistema de senhas onde criptografa dados com AES mas esquece de gerar um IV aleatório a cada operação, sempre usando o mesmo IV codificado. Um atacante consegue descriptografar dados observando padrões nos criptogramas, ou um aplicativo valida assinaturas digitais mas não implementa a verificação final de hash, aceitando qualquer assinatura que tenha o formato correto.

Como mitigar

Revise a implementação criptográfica contra o padrão ou RFC da especificação (NIST, IETF). Use bibliotecas criptográficas estabelecidas (OpenSSL, libsodium, TweetNaCl) em vez de implementação própria, e realize testes de segurança que validem cada etapa do fluxo criptográfico (geração de chaves, IV, MAC/assinatura, verificação).

CVE-2026-17666CRITICALCryptographic Flaw in Enterprise in Google Chrome prior to 151.0.7922.72 allowed an attacker in a privileged network position to bypass discEPSS 0.2%CVE-2026-49440HIGHDeno: Miller-Rabin Primality Test Allows Zero RoundsEPSS 0.2%CVE-2026-58638MEDIUMWindows Boot Loader Security Feature Bypass VulnerabilityEPSS 0.2%CVE-2026-28498HIGHAuthlib: Fail-Open Cryptographic Verification in OIDC Hash BindingEPSS 0.2%CVE-2026-55144HIGHWindows Cryptography API: Next Generation (CNG) Tampering VulnerabilityEPSS 0.2%CVE-2026-22863CRITICALDeno node:crypto doesn't finalize cipherEPSS 0.2%CVE-2026-6458MEDIUMAES-256-GCM Authentication Tag Does Not Cover First Ciphertext Blocks When AAD Is EmptyEPSS 0.2%CVE-2026-48480MEDIUMnetty-incubator-codec-ohttp OHttpVersionChunkDraft's Missing Final-Chunk Enforcement Leads to Undetected Stream TruncationEPSS 0.2%CVE-2015-20112LOWRLPx 5 has two CTR streams based on the same key, IV, and nonce. This can facilitate decryption on a private network.EPSS 0.2%CVE-2026-81235HIGHDell Wyse Management Suite, versions prior to 2605.0.3.683, contain a Missing Cryptographic Step vulnerability. A high privileged attacker wEPSS 0.1%CVE-2026-41395HIGHOpenClaw < 2026.3.28 - Webhook Replay via Query Parameter Reordering in Plivo V3EPSS 0.1%CVE-2026-76784HIGHInsufficient Cryptographic Protections in Local Device Communication Protocol on Multiple TP-Link Kasa Smart Home DevicesEPSS 0.1%CVE-2026-59776HIGHMissing Cryptographic Step (CWE-325) vulnerability exists in certain FeliCa IC chips shipped in or before 2017. If the vulnerability is explEPSS 0.1%CVE-2025-5323MEDIUMfossasia open-event-server Mail Verification mail.py send_email_change_user_email reliance on obfuscation or encryption of security-relevant inputs without integrity checkingEPSS 0.1%CVE-2026-0420MEDIUMMissing TLS certificate validation in NETGEAR's ReadyCloud client appEPSS 0.1%CVE-2025-49600MEDIUMIn MbedTLS 3.3.0 before 3.6.4, mbedtls_lms_verify may accept invalid signatures if hash computation fails and internal errors go unchecked, EPSS 0.1%CVE-2025-47383HIGHMissing Cryptographic Step in Data ModemEPSS 0.1%CVE-2026-29142MEDIUMPlaintext secure-mail.htmlEPSS 0.1%CVE-2025-69418MEDIUMUnauthenticated/unencrypted trailing bytes with low-level OCB function callsEPSS 0.1%CVE-2025-59339MEDIUMThe Bastion ttyrec files are not signed after encryption by the osh-encrypt-rsync scriptEPSS 0.1%