Falhas do tipo CWE-454

4 resultados

Inicialização externa de variáveis ou armazenamentos confiáveis

A aplicação permite que dados de origem não confiável (entrada do usuário, arquivos, rede) inicializem variáveis ou estruturas que deveriam ser controladas internamente. Se um atacante conseguir controlar essa inicialização, pode injetar valores maliciosos que comprometem a lógica da aplicação ou seu estado de segurança.

Exemplo

Uma aplicação lê um arquivo de configuração não validado que define uma chave de criptografia global, ou um serviço aceita um parâmetro HTTP que inicializa uma flag de autenticação. O atacante manipula a origem desse dados e altera o comportamento esperado.

Como mitigar

Valide e sanitize rigorosamente toda entrada usada para inicializar variáveis críticas. Use valores padrão seguros definidos em código, isolados de entrada externa. Se precisar ler configuração dinâmica, implemente integridade (assinatura criptográfica) e autenticação da fonte.

CVE-2026-54003CRITICALKirby: External Initialization of the Panel on reverse proxy setups with the `Forwarded` headerEPSS 0.5%CVE-2026-26148HIGHMicrosoft Azure AD SSH Login extension for Linux Elevation of Privilege VulnerabilityEPSS 0.4%CVE-2026-48980MEDIUMpam_usb: getenv() used in PAM context allows environment variable injection into local-check logicEPSS 0.2%CVE-2025-36244HIGHIBM AIX privilege escalationEPSS 0.1%