Falhas do tipo CWE-347

766 resultados

Divulgação de informações

A aplicação expõe dados sensíveis (credenciais, tokens, informações pessoais, detalhes técnicos) a atores não autorizados através de canais inseguros, logs, mensagens de erro ou respostas HTTP. O risco está em que essas informações podem ser capturadas, armazenadas ou usadas para ataques subsequentes.

Exemplo

Uma API retorna stacktrace completo (com caminhos internos e bibliotecas) em resposta de erro; ou um formulário envia senha em texto plano via HTTP; ou logs de produção contêm tokens de autenticação visíveis em backup público no GitHub.

Como mitigar

Sanitize mensagens de erro para o usuário (log completo apenas internamente), use HTTPS/TLS obrigatório para dados sensíveis, implemente rotação de secrets e nunca exponha tokens/senhas em logs, respostas ou comentários de código. Revise regularmente o que é exposto em respostas da aplicação e em pontos de debug.

CVE-2025-6198HIGHSupermicro BMC firmware update validation bypassEPSS 0.3%CVE-2025-7937HIGHSupermicro BMC firmware update validation bypassEPSS 0.3%CVE-2026-58085HIGHMissing MAC validation in wg(4) packet decryptionEPSS 0.3%CVE-2026-33487HIGHgoxmldsig has validateSignature Loop Variable Capture Signature BypassEPSS 0.3%CVE-2020-22659HIGHIn Ruckus R310 10.5.1.0.199, Ruckus R500 10.5.1.0.199, Ruckus R600 10.5.1.0.199, Ruckus T300 10.5.1.0.199, Ruckus T301n 10.5.1.0.199, RuckusEPSS 0.3%CVE-2026-16443HIGHKeycloak-services: keycloak-services: saml broker metadata import disables response signature validationEPSS 0.3%CVE-2026-69646HIGHSkype for Business Spoofing VulnerabilityEPSS 0.3%CVE-2026-18568HIGHXML::Sig versions from 0.29 before 0.72 for Perl allow signature verification bypass because verify returns true when every signature was skipped before any cryptographic checkEPSS 0.3%CVE-2026-46684CRITICALDataEase: Unauthorized Command Execution VulnerabilityEPSS 0.3%CVE-2025-33069MEDIUMWindows App Control for Business Security Feature Bypass VulnerabilityEPSS 0.3%CVE-2026-46354CRITICALCoder: PKCS#7 signature bypass in Azure instance identity allows unauthenticated agent token theftEPSS 0.3%CVE-2022-23507MEDIUMLight client verification not taking into account chain IDEPSS 0.3%CVE-2026-82461HIGHpac4j-oidc before 6.5.6 Privilege Escalation via Unverified Keycloak Access TokenEPSS 0.3%CVE-2026-18569LOWKeycloak-services: keycloak-services: oidc backchannel logout accepts unsigned forged logout tokensEPSS 0.3%CVE-2026-58200HIGH@jhb.software/payload-cloudinary-plugin: Arbitrary Cloudinary API Parameter SigningEPSS 0.3%CVE-2026-42784HIGHSequoia-openpgp: sequoia-openpgp: cryptographic integrity compromise via key flag confusionEPSS 0.3%CVE-2026-0750HIGHPayment bypass in Commerce PayboxEPSS 0.3%CVE-2026-85962HIGHImproper authentication in Progress MarkLogic Server SAML processingEPSS 0.3%CVE-2023-28602LOWZoom for Windows clients prior to 5.13.5 contain an improper verification of cryptographic signature vulnerability. A malicious user may poEPSS 0.3%CVE-2026-18108CRITICALNet::SAML2 versions before 0.86 for Perl allow authentication bypass because _verify_encrypted_assertion accepts an EncryptedAssertion whose decrypted content carries no signatureEPSS 0.3%