Falhas do tipo CWE-347

766 resultados

Divulgação de informações

A aplicação expõe dados sensíveis (credenciais, tokens, informações pessoais, detalhes técnicos) a atores não autorizados através de canais inseguros, logs, mensagens de erro ou respostas HTTP. O risco está em que essas informações podem ser capturadas, armazenadas ou usadas para ataques subsequentes.

Exemplo

Uma API retorna stacktrace completo (com caminhos internos e bibliotecas) em resposta de erro; ou um formulário envia senha em texto plano via HTTP; ou logs de produção contêm tokens de autenticação visíveis em backup público no GitHub.

Como mitigar

Sanitize mensagens de erro para o usuário (log completo apenas internamente), use HTTPS/TLS obrigatório para dados sensíveis, implemente rotação de secrets e nunca exponha tokens/senhas em logs, respostas ou comentários de código. Revise regularmente o que é exposto em respostas da aplicação e em pontos de debug.

CVE-2026-86405CRITICALPayment Validation Bypass in Sipay Electronic Money's SanalPos PrestaShopEPSS 0.2%CVE-2026-34068MEDIUMnimiq-transaction: UpdateValidator transactions allows voting key change without proof-of-knowledgeEPSS 0.2%CVE-2026-85531CRITICALPayment Validation Bypass in Sipay Electronic Money's OpenCart 3.xEPSS 0.2%CVE-2026-66776MEDIUMMultiple vulnerabilities in SAP Business AI Platform (Approuter)EPSS 0.2%CVE-2026-41431HIGHZen Browser MAR updater ships with signature verification removed — unsigned updates acceptedEPSS 0.2%CVE-2025-20181MEDIUMA vulnerability in Cisco IOS Software for Cisco Catalyst 2960X, 2960XR, 2960CX, and 3560CX Series Switches could allow an authenticated, locEPSS 0.2%CVE-2025-59324CRITICALCPSD CryptoPro Secure Disk for Bitlocker before v7.7.4 fails to properly validate LUKS encryption and, if encryption is present, all CryptoPEPSS 0.2%CVE-2026-122267HIGHMinIO Signature V4 verification before RELEASE.2026-09-22T19-25-18Z accepts unsigned x-amz-* headers, letting a presigned PUT URL be escalatEPSS 0.2%CVE-2026-81714CRITICALopenssl_encrypt before 1.4.9 Plugin Signing Trust Anchor Enrollment BypassEPSS 0.2%CVE-2026-6328HIGHXQUIC Improper STREAM Frame Validation in Initial/Handshake PacketsEPSS 0.2%CVE-2026-5466HIGHwc_VerifyEccsiHash missing sanity checkEPSS 0.2%CVE-2025-55278HIGHHCL DevOps Loop is susceptible to an improper authentication vulnerabilityEPSS 0.2%CVE-2024-7788HIGHSignatures in "repair mode" should not be trustedEPSS 0.2%CVE-2026-82645CRITICALAVideo Unauthenticated Stream Credential Disclosure via Forgeable TokenEPSS 0.2%CVE-2026-46349MEDIUMMastodon: LD-Signature Bypass via JSON-LD Named-Graph RestructuringEPSS 0.2%CVE-2025-59327HIGHIn CPSD CryptoPro Secure Disk for Bitlocker before v7.7.4, bootxsa.efi fails to properly validate LUKS encryption and, if encryption is presEPSS 0.2%CVE-2026-85708HIGHChartbrew: Private chart data disclosure via forgeable CB_SECRET share tokensEPSS 0.2%CVE-2026-45795MEDIUMJanssen Project: JWE Request Object Signature Verification Bypass in jans-auth-serverEPSS 0.2%CVE-2026-54783HIGHCoreWCF: XML Signature Wrapping in WS-Security endorsing/supporting signature verification allows replay of captured signed messagesEPSS 0.2%CVE-2026-86038HIGHlibp2p: Gossipsub StrictSign accepts attacker-signed messages as a victim RSA peer IDEPSS 0.2%