Falhas do tipo CWE-393

15 resultados

Retorno de código de status incorreto

A aplicação retorna um código HTTP ou de status que não reflete corretamente o resultado da operação realizada. Por exemplo, retornar 200 OK quando uma autenticação falhou, ou 500 quando o recurso simplesmente não existe. Isso confunde clientes legítimos, facilita ataques (enumeração de usuários, contorno de validações) e dificulta debug e monitoramento.

Exemplo

Uma API retorna 200 quando uma tentativa de login falha, em vez de 401 Unauthorized. Um atacante consegue descobrir usuários válidos observando diferenças no tempo de resposta, enquanto logs de erro não conseguem identificar falhas de autenticação corretamente.

Como mitigar

Defina e use o código de status HTTP apropriado para cada cenário: 401 para autenticação falha, 403 para acesso negado, 404 para recurso inexistente, 400 para requisição inválida. Documente a semântica esperada e revise retornos em testes de segurança, especialmente em fluxos de erro e exceção.

CVE-2023-37897HIGHServer-side Template Injection (SSTI) in gravEPSS 2.8%CVE-2025-5987HIGHLibssh: invalid return code for chacha20 poly1305 with openssl backendEPSS 1.7%CVE-2020-5401MEDIUMCloud Foundry GoRouter is vulnerable to cache poisoningEPSS 1.0%CVE-2024-49117HIGHWindows Hyper-V Remote Code Execution VulnerabilityEPSS 1.0%CVE-2026-55958HIGHRenesas TSIP TLS 1.3 transcript buffer out-of-bounds write in tsip_StoreMessageEPSS 0.4%CVE-2025-32414MEDIUMIn libxml2 before 2.13.8 and 2.14.x before 2.14.2, out-of-bounds memory access can occur in the Python API (Python bindings) because of an iEPSS 0.4%CVE-2026-85483MEDIUMApache Thrift: c_glib TZlibTransport reports a full read after a premature stream endEPSS 0.3%CVE-2026-42246HIGHnet-imap vulnerable to STARTTLS stripping via invalid response timingEPSS 0.3%CVE-2026-92821MEDIUMSssd: sssd: access control bypass via premature ldap access rule evaluationEPSS 0.3%CVE-2026-9058CRITICALImproper Certificate Verification in Szafir SDKEPSS 0.3%CVE-2026-92834MEDIUMApache Thrift: C++ WebSocket server transport does not read a full request lengthEPSS 0.3%CVE-2025-24531MEDIUMIn OpenSC pam_pkcs11 before 0.6.13, pam_sm_authenticate() wrongly returns PAM_IGNORE in many error situations (such as an error triggered byEPSS 0.2%CVE-2026-97381CRITICALLegacy Update ActiveX control accepts unauthorized hosting originsEPSS 0.2%CVE-2026-85087MEDIUMApache Thrift: Python ≥3.12 host-name check silently becomes a no-opEPSS 0.2%CVE-2026-53092HIGHbpf: Fix linked reg delta tracking when src_reg == dst_regEPSS 0.1%