Falhas do tipo CWE-480

8 resultados

Uso de operador incorreto

O desenvolvedor usa um operador lógico ou aritmético errado no código, causando comportamento não intencional. Por exemplo, usar '&' (AND bitwise) em vez de '&&' (AND lógico), ou '=' (atribuição) em vez de '==' (comparação). Isso leva a decisões de controle de fluxo incorretas ou corrupção de dados.

Exemplo

Um validador de permissões escreve 'if (user_id = admin_id)' em vez de 'if (user_id == admin_id)'. O código atribui o valor de admin_id a user_id e sempre avalia como verdadeiro, concedendo acesso a qualquer usuário — falha crítica de segurança.

Como mitigar

Use ferramentas de análise estática (linters, compiladores com warnings altos) configuradas para detectar atribuição em condicionais. Implemente testes unitários que cobram branches críticos de segurança e revisão obrigatória de código em decisões de controle de acesso.

CVE-2022-1947CRITICALUse of Incorrect Operator in polonel/trudeskEPSS 1.2%CVE-2024-35190MEDIUMAsterisk' res_pjsip_endpoint_identifier_ip: wrongly matches ALL unauthorized SIP requestsEPSS 0.6%CVE-2026-15043CRITICALDBI::SQL::Nano versions from 1.42 before 1.651 for Perl have inverted <= and >= SQL operators on textEPSS 0.4%CVE-2026-43114CRITICALnetfilter: nft_set_pipapo_avx2: don't return non-matching entry on expiryEPSS 0.4%CVE-2026-4748HIGHpf silently ignores certain rulesEPSS 0.3%CVE-2025-52985MEDIUMJunos OS Evolved: When a control-plane firewall filter refers to a prefix-list with more than 10 entries it's not matchingEPSS 0.2%CVE-2026-48497MEDIUMEnvoy: Abnormal process termination in DNS UDP filterEPSS 0.2%CVE-2026-44722MEDIUMpyzipper: Encryption bypass for small files encrypted with pyzipperEPSS 0.1%