Falhas do tipo CWE-327

413 resultados

Uso de algoritmo criptográfico quebrado ou inseguro

A aplicação usa um algoritmo de criptografia que já foi criptanaliticamente quebrado ou é considerado inseguro para o caso de uso. Isso expõe dados sensíveis a decriptação não autorizada, mesmo que o código implemente corretamente a biblioteca criptográfica escolhida.

Exemplo

Um sistema de autenticação usa MD5 ou SHA1 para hash de senhas, ou uma API de pagamento trafega dados com DES ou RC4 em vez de AES. Um atacante consegue recuperar a senha original via força bruta ou quebra criptanalítica em tempo viável.

Como mitigar

Use apenas algoritmos criptográficos modernos e bem mantidos: SHA-256+ para hash, AES-256 para cifra simétrica, RSA-2048+ ou ECDP-256+ para assimétrica. Audite regularmente o stack criptográfico e mantenha dependências atualizadas; remova suporte a algoritmos legados em produção.

CVE-2024-28972MEDIUMDell InsightIQ, Verion 5.0.0, contains a use of a broken or risky cryptographic algorithm vulnerability. An unauthenticated remote attacker EPSS 0.3%CVE-2024-21670MEDIUMCL-Signatures Revocation Scheme in Ursa has flaws that allow a holder to demonstrate non-revocation of a revoked credentialEPSS 0.3%CVE-2025-8260LOWVaelsys VaelsysV4 Web interface vgrid_server.php weak hashEPSS 0.3%CVE-2024-4765HIGHWeb application manifests were stored by using an insecure MD5 hash which allowed for a hash collision to overwrite another application's maEPSS 0.3%CVE-2026-30791HIGHRustDesk Client Accepts Pseudo-Encrypted Config Strings Without Cryptographic ValidationEPSS 0.3%CVE-2026-74888HIGHopenssl_encrypt before 1.4.0 Non-Standard PBKDF2 Key DerivationEPSS 0.3%CVE-2020-4874MEDIUMIBM Cognos Controller information disclosureEPSS 0.3%CVE-2023-40696MEDIUMIBM Cognos Controller information disclosureEPSS 0.3%CVE-2024-52366MEDIUMIBM Concert Software information disclosureEPSS 0.3%CVE-2024-43189MEDIUMIBM Concert Software information disclosureEPSS 0.3%CVE-2026-27871LOWTL280EPSS 0.3%CVE-2026-29129HIGHApache Tomcat: TLS cipher order is not preservedEPSS 0.3%CVE-2026-3598HIGHRustDesk Server Generates Config Strings Using Reversible Encoding (Base64 + Reverse) Instead of EncryptionEPSS 0.3%CVE-2024-27255MEDIUMIBM MQ Container information disclosureEPSS 0.3%CVE-2024-29175MEDIUMDell PowerProtect Data Domain, versions prior to 7.13.0.0, LTS 7.7.5.40, LTS 7.10.1.30 contain an weak cryptographic algorithm vulnerabilityEPSS 0.3%CVE-2018-5382—Bouncy Castle BKS-V1 keystore files vulnerable to trivial hash collisionsEPSS 0.3%CVE-2026-44699CRITICALLibJWT: Algorithm confusion allows JWT forgery with RSA JWK as empty-key HMACEPSS 0.3%CVE-2026-9221HIGHSetracker2 Children's Smartwatch Ecosystem Use of a Broken or Risky Cryptographic AlgorithmEPSS 0.3%CVE-2025-49196MEDIUMDeprecated TLS version supportedEPSS 0.3%CVE-2026-11929HIGHSecurity vulnerabilities have been addressed in IBM Verify Identity Access and IBM Security Verify AccessEPSS 0.3%