Falhas do tipo CWE-347

766 resultados

Divulgação de informações

A aplicação expõe dados sensíveis (credenciais, tokens, informações pessoais, detalhes técnicos) a atores não autorizados através de canais inseguros, logs, mensagens de erro ou respostas HTTP. O risco está em que essas informações podem ser capturadas, armazenadas ou usadas para ataques subsequentes.

Exemplo

Uma API retorna stacktrace completo (com caminhos internos e bibliotecas) em resposta de erro; ou um formulário envia senha em texto plano via HTTP; ou logs de produção contêm tokens de autenticação visíveis em backup público no GitHub.

Como mitigar

Sanitize mensagens de erro para o usuário (log completo apenas internamente), use HTTPS/TLS obrigatório para dados sensíveis, implemente rotação de secrets e nunca exponha tokens/senhas em logs, respostas ou comentários de código. Revise regularmente o que é exposto em respostas da aplicação e em pontos de debug.

CVE-2026-86304CRITICALMojoX::Authentication versions before 0.006 for Perl allow SAML authentication bypass because parse_assertion builds Net::SAML2::Binding::POST without a trust anchorEPSS 0.3%CVE-2026-89043CRITICALpassport-saml-encrypted through 0.1.13 XML Signature Wrapping via Assertion PrependingEPSS 0.3%CVE-2026-76234HIGHlibcrux before 0.0.6 Cryptographic Implementation Bug FixesEPSS 0.3%CVE-2019-12662MEDIUMCisco NX-OS and IOS XE Software Virtual Service Image Signature Bypass VulnerabilityEPSS 0.3%CVE-2026-33746CRITICALConvoy: JWT Signature Verification Bypass Allows Authentication as Arbitrary UsersEPSS 0.3%CVE-2026-91187CRITICALImproper Verification of Cryptographic Signature in dashbit nimble_zta Cloudflare strategyEPSS 0.3%CVE-2026-105869CRITICALApache Pulsar: MultiRolesTokenAuthorizationProvider uses roles from unverified tokens for HTTP requests that fall back to the anonymous user roleEPSS 0.3%CVE-2026-77105HIGHCommServe Privilege EscalationEPSS 0.3%CVE-2026-73784HIGHHPE IceWall products, Remote Bypass of Security RestrictionsEPSS 0.3%CVE-2024-42459MEDIUMIn the Elliptic package 6.5.6 for Node.js, EDDSA signature malleability occurs because there is a missing signature length check, and thus zEPSS 0.3%CVE-2026-15556HIGHPicketlink-federation: picketlink saml 2.0 auth bypass via missing assertionsEPSS 0.3%CVE-2025-12006HIGHSupermicro BMC firmware update validation bypassEPSS 0.3%CVE-2024-23480HIGHInsecure MacOS code sign check fallback EPSS 0.3%CVE-2023-52043HIGHAn issue in D-Link COVR 1100, 1102, 1103 AC1200 Dual-Band Whole-Home Mesh Wi-Fi System (Hardware Rev B1) truncates Wireless Access Point PasEPSS 0.3%CVE-2021-22573HIGHIncorrect signature verification on Google-oauth-java-clientEPSS 0.3%CVE-2026-11800HIGHOrg.keycloak:keycloak-services: keycloak: authentication bypass via jwt algorithm confusionEPSS 0.3%CVE-2026-32597HIGHPyJWT accepts unknown `crit` header extensions (RFC 7515 §4.1.11 MUST violation)EPSS 0.3%CVE-2026-56864HIGHIgnore unrelated, unauthenticated hashes in Lookup in golang.org/x/mod/sumdbEPSS 0.3%CVE-2026-91898HIGHDell Alienware Command Center (AWCC), versions prior to 6.14.54.0, contain an Improper Verification of Cryptographic Signature vulnerabilityEPSS 0.3%CVE-2026-88078MEDIUMMicrosoft Edge (Chromium-based) Spoofing VulnerabilityEPSS 0.3%