Falhas do tipo CWE-471

45 resultados

Modificação de dados presumidamente imutáveis

Ocorre quando código confia que certos dados não serão alterados, mas alguém consegue modificá-los — seja por acesso direto à memória, referência compartilhada não protegida ou falta de validação. O desenvolvedor assume imutabilidade que não existe, criando comportamento imprevisto ou exploração de segurança.

Exemplo

Uma aplicação armazena uma constante de nível de acesso do usuário em memória e a valida uma vez no login. Um atacante, porém, modifica essa variável diretamente via overflow de buffer ou manipulação de estrutura de dados compartilhada, elevando seu próprio privilégio sem revalidação.

Como mitigar

Use estruturas de dados realmente imutáveis (como constantes finais em Java, objetos congelados em Python), revalide dados críticos em cada ponto de decisão, e proteja a memória contra acesso não autorizado com controles de acesso apropriados (ASLR, canários de pilha, sandboxing).

CVE-2023-46232MEDIUMera-compiler-vyper First Immutable Variable Initialization vulnerabilityEPSS 0.7%CVE-2024-55551HIGHAn issue was discovered in Exasol JDBC driver before 24.2.1 (2024-12-10). Attackers can inject malicious parameters into the JDBC URL, triggEPSS 0.6%CVE-2024-34517MEDIUMThe Cypher component in Neo4j 5.0.0 through 5.18 mishandles IMMUTABLE privileges in some situations where an attacker already has admin acceEPSS 0.6%CVE-2021-42701MEDIUMAzeoTech DAQFactoryEPSS 0.6%CVE-2022-1561MEDIUMCrafted backend URLs in Lura ProjectEPSS 0.6%CVE-2023-2904HIGHCVE-2023-2904EPSS 0.6%CVE-2021-37177MEDIUMA vulnerability has been identified in SINEMA Remote Connect Server (All versions < V3.0 SP2). The status provided by the syslog clients manEPSS 0.4%CVE-2026-54267HIGHAngular Client Hydration DOM Clobbering & Response-Cache PoisoningEPSS 0.4%CVE-2024-51462MEDIUMIBM QRadar WinCollect Agent data manipulationEPSS 0.4%CVE-2021-37193MEDIUMA vulnerability has been identified in SINEMA Remote Connect Server (All versions < V3.0 SP2). An unauthenticated attacker in the same netwoEPSS 0.4%CVE-2025-33136HIGHIBM Aspera Faspex data modificationEPSS 0.4%CVE-2026-92949MEDIUMvm2 3.9.6 before 3.11.7 Sandbox Bypass via Accessor DescriptorEPSS 0.3%CVE-2026-44798HIGHNautobot: GitRepository.current_head field should not be writable through REST APIEPSS 0.3%CVE-2026-107296LOWmsgpack5: Decoding negative int64 values mutates the input bufferEPSS 0.3%CVE-2026-63402MEDIUMi18next: Shared built-in corruption through inherited-key deepExtend recursionEPSS 0.3%CVE-2026-103001MEDIUMPyJWT.decode() reintroduces options-dict mutation, enabling silent claim-verification bypass on dict reuseEPSS 0.3%CVE-2024-9876HIGHApplication is vulnerable to Privilege escalationEPSS 0.2%CVE-2026-8492LOWTranslate Drupal with GTranslate - Less critical - DOM clobbering / link manipulation - SA-CONTRIB-2026-035EPSS 0.2%CVE-2020-26268MEDIUMWrite to immutable memory region in TensorFlowEPSS 0.2%CVE-2026-59299LOWComposition lookup can potentially poison base function in Spring Cloud FunctionEPSS 0.2%