Falhas do tipo CWE-347

766 resultados

Divulgação de informações

A aplicação expõe dados sensíveis (credenciais, tokens, informações pessoais, detalhes técnicos) a atores não autorizados através de canais inseguros, logs, mensagens de erro ou respostas HTTP. O risco está em que essas informações podem ser capturadas, armazenadas ou usadas para ataques subsequentes.

Exemplo

Uma API retorna stacktrace completo (com caminhos internos e bibliotecas) em resposta de erro; ou um formulário envia senha em texto plano via HTTP; ou logs de produção contêm tokens de autenticação visíveis em backup público no GitHub.

Como mitigar

Sanitize mensagens de erro para o usuário (log completo apenas internamente), use HTTPS/TLS obrigatório para dados sensíveis, implemente rotação de secrets e nunca exponha tokens/senhas em logs, respostas ou comentários de código. Revise regularmente o que é exposto em respostas da aplicação e em pontos de debug.

CVE-2026-34377HIGHZebra has a Consensus Failure due to Improper Verification of V5 TransactionsEPSS 0.3%CVE-2025-40758HIGHA vulnerability has been identified in Mendix SAML (Mendix 10.12 compatible) (All versions < V4.0.3), Mendix SAML (Mendix 10.21 compatible) EPSS 0.3%CVE-2026-102894CRITICALGPUStack: SAML callback trusts an unverified SAMLResponse, allowing authentication bypass and account takeoverEPSS 0.3%CVE-2026-44699CRITICALLibJWT: Algorithm confusion allows JWT forgery with RSA JWK as empty-key HMACEPSS 0.3%CVE-2026-86080MEDIUMn8n: GitHub Trigger 422 Reuse Path Skips Webhook Secret Storage, Causing Signature Verification to Fail-OpenEPSS 0.3%CVE-2026-64623HIGHNetwork-AI before 5.13.4 Cryptographic Signature Verification BypassEPSS 0.3%CVE-2024-10237HIGHSMC BMC Firmware Image Authentication Design IssueEPSS 0.3%CVE-2024-36277MEDIUMImproper verification of cryptographic signature issue exists in "FreeFrom - the nostr client" App versions prior to 1.3.5 for Android and iEPSS 0.3%CVE-2025-9210HIGHMissing JSON Web Token signature validation in Otalio Ship Property Management SystemEPSS 0.3%CVE-2026-18500HIGH@fastify/jwt vulnerable to authorization bypass via global secret overriding the per-request keyEPSS 0.3%CVE-2026-70071MEDIUMRole: DNS Server Tampering VulnerabilityEPSS 0.3%CVE-2020-10608—In OSIsoft PI System multiple products and versions, a local attacker can plant a binary and bypass a code integrity check for loading PI SyEPSS 0.3%CVE-2026-7511MEDIUMPKCS7_verify signer confusion allows forged signatures to be acceptedEPSS 0.3%CVE-2026-2968MEDIUMCesanta Mongoose Poly1305 Authentication Tag tls_chacha20.c mg_chacha20_poly1305_decrypt signature verificationEPSS 0.3%CVE-2026-11348HIGHAuthentication Bypass in HAVELSAN's Open Source Project Liman MYSEPSS 0.3%CVE-2026-23518CRITICALFleet has a JWT signature bypass vulnerability in Azure AD MDM enrollmentEPSS 0.3%CVE-2026-47192LOWkas's late signature validation may allow unnoticed repository manipulationsEPSS 0.3%CVE-2026-6911CRITICALAuthentication Bypass via Missing JWT Signature Verification in AWS Ops WheelEPSS 0.3%CVE-2026-69650HIGHWindows Key Distribution Center Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-41301MEDIUMOpenClaw 2026.3.22 < 2026.3.31 - Forged Nostr DM Pairing State Creation via Signature Verification BypassEPSS 0.3%