Falhas do tipo CWE-357

22 resultados

Aviso insuficiente na interface para operações perigosas

A aplicação executa operações críticas (deleção permanente, alteração de permissões, envio de dados sensíveis) sem alertar adequadamente o usuário ou exigir confirmação explícita. O risco é o usuário realizar ações irreversíveis por acidente ou ser enganado por um atacante, causando perda de dados ou comprometimento da segurança.

Exemplo

Um sistema de backup permite deletar toda a base de dados com um único clique em um botão genérico 'Remover', sem popup de confirmação ou explicação do impacto. Um administrador cansado clica por engano e perde semanas de dados.

Como mitigar

Implemente confirmações explícitas (diálogos modais) para operações destrutivas ou privilegiadas, com descrição clara do que será feito. Exija autenticação adicional para ações de risco alto e considere timeouts ou rate-limiting para prevenir ataques em sequência.

CVE-2026-123320LOWIn JetBrains Toolbox App before 3.9 insufficient warning in the login dialog allowed connecting to a malicious serverEPSS 0.1%CVE-2026-47782MEDIUMAndroid App "RoboForm Password Manager" provided by Siber Systems, Inc. handles Android intents without sufficient URL validation, user confEPSS 0.1%