Falhas do tipo CWE-347

766 resultados

Divulgação de informações

A aplicação expõe dados sensíveis (credenciais, tokens, informações pessoais, detalhes técnicos) a atores não autorizados através de canais inseguros, logs, mensagens de erro ou respostas HTTP. O risco está em que essas informações podem ser capturadas, armazenadas ou usadas para ataques subsequentes.

Exemplo

Uma API retorna stacktrace completo (com caminhos internos e bibliotecas) em resposta de erro; ou um formulário envia senha em texto plano via HTTP; ou logs de produção contêm tokens de autenticação visíveis em backup público no GitHub.

Como mitigar

Sanitize mensagens de erro para o usuário (log completo apenas internamente), use HTTPS/TLS obrigatório para dados sensíveis, implemente rotação de secrets e nunca exponha tokens/senhas em logs, respostas ou comentários de código. Revise regularmente o que é exposto em respostas da aplicação e em pontos de debug.

CVE-2025-43023MEDIUMHP Linux Imaging and Printing Software - Use of DSA KeyEPSS 0.3%CVE-2026-4478CRITICALYi Technology YI Home Camera HTTP Firmware Update ipc signature verificationEPSS 0.3%CVE-2021-43074MEDIUMAn improper verification of cryptographic signature vulnerability [CWE-347] in FortiWeb 6.4 all versions, 6.3.16 and below, 6.2 all versionsEPSS 0.3%CVE-2025-24015HIGHDeno's AES GCM authentication tags are not verifiedEPSS 0.3%CVE-2026-47304HIGH.NET Security Feature Bypass VulnerabilityEPSS 0.3%CVE-2026-113620CRITICALEclipse ioFog operator WebSocket accepts an unverified JWTEPSS 0.3%CVE-2026-19910HIGHPAX Technology Q80 Application Installer Signature Verification Bypass Remote Code Execution VulnerabilityEPSS 0.3%CVE-2023-28804HIGHLinux ZCC allows unsigned updates, allowing elevated Code ExecutionEPSS 0.3%CVE-2026-6966HIGHSignature Threshold Bypass in awslabs/tough Delegated RolesEPSS 0.3%CVE-2026-117691CRITICALKeycloak-services: keycloak-services: saml redirect binding signature bypass via percent-encoded parameter namesEPSS 0.3%CVE-2026-107724HIGHfast-jwt treats raw public JWK JSON as an HMAC secret, enabling HS256 token forgeryEPSS 0.3%CVE-2026-10141CRITICALA Unsigned Firmware vulnerability exists in the boa Firmware Update functionality of X2000R (version(s): TOTOLINK-X2000R-Gh-V1.0.0-B20250421EPSS 0.3%CVE-2026-46713CRITICALMisskey: JSON-LD signature validation + compaction may lead to improper activity handlingEPSS 0.3%CVE-2025-29915HIGHSuricata af-packet: defrag option can lead to truncated packets affecting visibilityEPSS 0.3%CVE-2020-3209MEDIUMCisco IOS XE Software Digital Signature Verification Bypass VulnerabilityEPSS 0.3%CVE-2026-9487CRITICALXML::Sig versions before 0.71 for Perl allow signature wrapping via duplicate IDEPSS 0.3%CVE-2026-87802CRITICALApache Syncope: SRA OAuth2 JWT signature verification bypassEPSS 0.3%CVE-2026-89086CRITICALIn the jose package before 0.11.0 for OCaml, library calls to validate an RSA signature only confirm that PKCS #1 decoding succeeds, and proEPSS 0.3%CVE-2026-50634MEDIUMApache CXF: WS JSON request filter trusts metadata from an unvalidated first signature entryEPSS 0.3%CVE-2026-80465HIGHA vulnerability has been identified in Mendix SAML (Mendix 10 compatible) (All versions < V4.2.4), Mendix SAML (Mendix 11 compatible) (All vEPSS 0.3%