Falhas do tipo CWE-349

54 resultados

Aceitação de dados não confiáveis mesclados com dados confiáveis

A aplicação recebe dados de múltiplas fontes, confia que alguns são seguros e não valida adequadamente os dados não confiáveis que vêm junto. O atacante aproveita a mescla de fontes para injetar dados maliciosos disfarçados de informação confiável, contornando controles de segurança que só validam parte do fluxo.

Exemplo

Um sistema recebe um arquivo XML que vem 'de um parceiro confiável' e um bloco de dados do usuário. O código valida apenas o XML do parceiro, mas processa o bloco do usuário sem validação. O atacante injeta XML malicioso no bloco do usuário que é processado junto, causando injeção XML ou XXE.

Como mitigar

Valide todos os dados de entrada independentemente de percebê-los como 'confiáveis'—nunca misture fluxos de confiança sem validação explícita. Separe dados confiáveis e não confiáveis em canais distintos e aplique validação rigorosa em cada fronteira.

CVE-2026-50252MEDIUMPossible cache poisoning attack by mapping source port population per threadEPSS 0.2%CVE-2026-59263LOWApache OpenOffice: Carefully crafted documents could display different data when opened with different programs, instead of being reported as corrupt.EPSS 0.2%CVE-2026-74916MEDIUMWP Fastest Cache 0.8.7.7 - 1.5.0 - Unauthenticated Cache Poisoning via Unkeyed Tracking ParametersEPSS 0.2%CVE-2026-33612HIGHZoneToCache can poison the cacheEPSS 0.1%CVE-2024-53848HIGHcheck-jsonschema default caching for remote schemas allows for cache confusionEPSS 0.1%CVE-2026-35641HIGHOpenClaw < 2026.3.24 - Arbitrary Code Execution via .npmrc in Local Plugin/Hook InstallationEPSS 0.1%CVE-2026-95985HIGHKiro IDE Allows Agentic Writes to Global Configurations While Working in Untrusted WorkspacesEPSS 0.1%CVE-2023-3749HIGHVideoEdge configEPSS 0.1%CVE-2024-52555MEDIUMIn JetBrains WebStorm before 2024.3 code execution in Untrusted Project mode was possible via type definitions installer scriptEPSS 0.1%CVE-2025-68269MEDIUMIn JetBrains IntelliJ IDEA before 2025.3 missing confirmation allowed opening of untrusted remote projects over SSHEPSS 0.1%CVE-2026-100755MEDIUMAcceptance of Extraneous Untrusted Data With Trusted Data in GitLabEPSS 0.1%CVE-2026-46342LOWNuxt: `__nuxt_island` endpoint does not bind responses to request props, enabling shared-cache poisoningEPSS 0.1%CVE-2026-62364LOWwlc may disclose API tokens to project-configured URLsEPSS 0.1%CVE-2026-123653MEDIUMesengine DeepSeek-Reasonix doc.go discoverDocs llm prompting inputEPSS —