Falhas do tipo CWE-441

233 resultados

Deputado Confuso (intermediário não intencional)

Ocorre quando um programa confiável é explorado para executar ações em nome de um atacante, porque não valida corretamente quem está pedindo e em qual contexto. O programa age como intermediário involuntário, abusando de seus privilégios para fazer algo que não deveria.

Exemplo

Um serviço web roda com permissões altas e aceita uma URL ou caminho como parâmetro sem validar a origem. Um atacante envia requisição malformada que o serviço interpreta como vindo de um usuário legítimo, causando dele mesmo deletar arquivos ou acessar dados sensíveis que o atacante sozinho não poderia.

Como mitigar

Valide rigorosamente a origem, contexto e intenção de cada requisição (quem está pedindo, de onde, e se tem direito). Implemente verificação de autenticação robusta, use tokens com escopo limitado (OAuth 2.0), e nunca confie apenas em parâmetros do usuário para tomar decisões de segurança ou privilégio.

CVE-2026-103922CRITICALCapacitor Android and iOS: remote content can be loaded at the app origin via the internal HTTP proxy pathEPSS 0.3%CVE-2026-44964MEDIUMIn versions of the Datadog Android application prior to v545-5.9.2, OnCallNotificationActivity is declared exported with no permission guardEPSS 0.3%CVE-2026-113152HIGHConfused deputy in SignIn in Google Chrome prior to 156.0.8078.47 allowed a remote attacker leveraging social engineering to bypass web origEPSS 0.3%CVE-2023-33188MEDIUM Uncontrolled data used in content resolution EPSS 0.3%CVE-2026-113190HIGHConfused deputy in ServiceWorker in Google Chrome prior to 156.0.8078.47 allowed a remote attacker leveraging social engineering to bypass wEPSS 0.3%CVE-2026-75886HIGHOpenshift/console: openshift/console: unauthenticated reverse proxy to in-cluster catalogd service with session token forwardingEPSS 0.3%CVE-2026-113247HIGHConfused deputy in DevTools in Google Chrome prior to 156.0.8078.47 allowed a remote attacker leveraging social engineering to obtain sensitEPSS 0.3%CVE-2025-64123HIGHNuvation Energy Multi-Stack Controller Proxy service allows arbitrary BMS accessEPSS 0.3%CVE-2026-114612CRITICALLiteLLM: Privilege Escalation to Proxy Admin via Cross-Domain Reuse of the Salt KeyEPSS 0.3%CVE-2026-83837HIGHWindows Kernel-Mode Drivers Elevation of Privilege VulnerabilityEPSS 0.3%CVE-2026-6993MEDIUMgo-kratos http.DefaultServeMux Fallback server.go NewServer confused deputyEPSS 0.3%CVE-2026-15183CRITICALInput Validation Vulnerabilities in Snowflake Spark ConnectorEPSS 0.3%CVE-2026-106221HIGHConfused deputy in WebAPKs in Google Chrome on on Android prior to 155.0.8059.39 allowed a remote attacker leveraging social engineering to EPSS 0.3%CVE-2026-24470HIGHSkipper Ingress Controller Allows Unauthorized Access to Internal Services via ExternalNameEPSS 0.3%CVE-2026-69531MEDIUMMicrosoft Windows Speech Tampering VulnerabilityEPSS 0.3%CVE-2026-12879MEDIUMCross-Tenant Data Exfiltration in Apigee via BigQuery Confused DeputyEPSS 0.3%CVE-2026-100625HIGHCapgo Build Upload Proxy Authorization Bypass via TUS ResourceEPSS 0.3%CVE-2026-105311HIGHConsole-operator: streams for apache kafka console: cross-namespace kafkauser secret exfiltration via confused deputyEPSS 0.3%CVE-2026-55225HIGHStrimzi: Cross-namespace privilege escalation via `Kafka.spec.entityOperator`EPSS 0.3%CVE-2026-113118HIGHConfused deputy in Extensions in Google Chrome prior to 156.0.8078.47 allowed a remote attacker leveraging social engineering to bypass web EPSS 0.3%