Falhas do tipo CWE-471

40 resultados

Modificação de dados presumidamente imutáveis

Ocorre quando código confia que certos dados não serão alterados, mas alguém consegue modificá-los — seja por acesso direto à memória, referência compartilhada não protegida ou falta de validação. O desenvolvedor assume imutabilidade que não existe, criando comportamento imprevisto ou exploração de segurança.

Exemplo

Uma aplicação armazena uma constante de nível de acesso do usuário em memória e a valida uma vez no login. Um atacante, porém, modifica essa variável diretamente via overflow de buffer ou manipulação de estrutura de dados compartilhada, elevando seu próprio privilégio sem revalidação.

Como mitigar

Use estruturas de dados realmente imutáveis (como constantes finais em Java, objetos congelados em Python), revalide dados críticos em cada ponto de decisão, e proteja a memória contra acesso não autorizado com controles de acesso apropriados (ASLR, canários de pilha, sandboxing).

CVE-2024-34517MEDIUMThe Cypher component in Neo4j 5.0.0 through 5.18 mishandles IMMUTABLE privileges in some situations where an attacker already has admin acceEPSS 0.6%CVE-2021-42701MEDIUMAzeoTech DAQFactoryEPSS 0.6%CVE-2023-46232MEDIUMera-compiler-vyper First Immutable Variable Initialization vulnerabilityEPSS 0.6%CVE-2026-50481CRITICALAzure Active Directory Elevation of Privilege VulnerabilityEPSS 0.6%CVE-2022-1561MEDIUMCrafted backend URLs in Lura ProjectEPSS 0.6%CVE-2023-2904HIGHCVE-2023-2904EPSS 0.6%CVE-2021-37177MEDIUMA vulnerability has been identified in SINEMA Remote Connect Server (All versions < V3.0 SP2). The status provided by the syslog clients manEPSS 0.4%CVE-2024-51462MEDIUMIBM QRadar WinCollect Agent data manipulationEPSS 0.4%CVE-2021-37193MEDIUMA vulnerability has been identified in SINEMA Remote Connect Server (All versions < V3.0 SP2). An unauthenticated attacker in the same netwoEPSS 0.4%CVE-2025-33136HIGHIBM Aspera Faspex data modificationEPSS 0.3%CVE-2026-54267HIGHAngular Client Hydration DOM Clobbering & Response-Cache PoisoningEPSS 0.3%CVE-2026-44798HIGHNautobot: GitRepository.current_head field should not be writable through REST APIEPSS 0.3%CVE-2026-92949MEDIUMvm2 3.9.6 before 3.11.7 Sandbox Bypass via Accessor DescriptorEPSS 0.2%CVE-2024-9876HIGHApplication is vulnerable to Privilege escalationEPSS 0.2%CVE-2026-8492LOWTranslate Drupal with GTranslate - Less critical - DOM clobbering / link manipulation - SA-CONTRIB-2026-035EPSS 0.2%CVE-2020-26268MEDIUMWrite to immutable memory region in TensorFlowEPSS 0.2%CVE-2026-59299LOWComposition lookup can potentially poison base function in Spring Cloud FunctionEPSS 0.2%CVE-2024-45672MEDIUMIBM Security Verify Bridge data manipulationEPSS 0.1%CVE-2022-2390MEDIUMMutable pending intent in Google Play services SDKEPSS 0.1%CVE-2026-84664MEDIUMJenkins GitLab Plugin 1.9.16 and earlier allows overwriting the global GitLab connection configuration through Stapler data binding, allowinEPSS 0.1%