Falhas do tipo CWE-526

18 resultados

Exposição de informações sensíveis através de variáveis de ambiente

A aplicação armazena dados sensíveis (senhas, tokens, chaves API) em variáveis de ambiente sem proteção adequada. Essas variáveis são acessíveis a qualquer processo executado na mesma máquina ou container, e podem vazar em logs, dumps de memória, ou ser lidas por outros usuários do sistema. O risco aumenta em ambientes compartilhados (servidores, containers, CI/CD).

Exemplo

Um desenvolvedor coloca a senha do banco de dados em uma variável de ambiente DATABASE_PASSWORD e a aplica lê durante o boot. Um atacante com acesso ao servidor executa 'env' ou inspeciona o processo via /proc/[pid]/environ no Linux, recuperando a senha em texto plano.

Como mitigar

Use um gerenciador de secrets dedicado (Vault, AWS Secrets Manager, Azure Key Vault) que fornece rotação automática e auditoria. Se usar variáveis de ambiente, restrinja permissões do processo (princípio do menor privilégio) e nunca registre ou exponha essas variáveis em logs ou documentação. Implemente escaneadores de secrets no CI/CD para detectar credenciais antes do commit.

CVE-2014-2377—Ecava IntegraXor SCADA Server Information Exposure Through Environmental VariablesEPSS 1.8%CVE-2023-5720HIGHQuarkus: build env information disclosure via gradle pluginEPSS 0.8%CVE-2023-35931LOWShescape potential environment variable exposure on Windows with CMDEPSS 0.8%CVE-2024-11736MEDIUMOrg.keycloak:keycloak-quarkus-server: unrestricted admin use of system and environment variablesEPSS 0.8%CVE-2026-49377MEDIUMIn JetBrains TeamCity before 2025.11.2 exposure of sensitive data via default agent parametersEPSS 0.7%CVE-2024-4369MEDIUMCluster-image-registry-operator: exposes a secret via env variable in pod definition on azureEPSS 0.7%CVE-2025-9162MEDIUMOrg.keycloak/keycloak-model-storage-service: variable injection into environment variablesEPSS 0.5%CVE-2025-28381HIGHA credential leak in OpenC3 COSMOS before v6.0.2 allows attackers to access service credentials as environment variables stored in all contaEPSS 0.4%CVE-2023-43029MEDIUMIBM Storage Virtualize vSphere Remote Plug-in information disclosureEPSS 0.4%CVE-2024-2700HIGHQuarkus-core: leak of local configuration properties into quarkus applicationsEPSS 0.3%CVE-2026-40153HIGHPraisonAIAgents Affected by Environment Variable Secret Exfiltration via os.path.expandvars() Bypassing shell=False in Shell ToolEPSS 0.3%CVE-2025-36017MEDIUMIBM Controller Information DisclosureEPSS 0.3%CVE-2025-0985MEDIUMIBM MQ information disclosureEPSS 0.3%CVE-2026-45370HIGHpython-utcp: Full Process Environment Exposed to CLI Subprocess - Secrets Leakage via Command InjectionEPSS 0.2%CVE-2023-47615LOWA CWE-526: Exposure of Sensitive Information Through Environmental Variables vulnerability exists in Telit Cinterion BGS5, Telit Cinterion EEPSS 0.2%CVE-2024-12604MEDIUMImproper Authentication in Tapandsign Technologies Tap and Sign AppEPSS 0.2%CVE-2025-27899MEDIUMMultiple vulnerabilities in IBM Java SDK affecting Db2 Recovery Expert for Linux, Unix and WindowsEPSS 0.2%CVE-2025-36105MEDIUMIBM Planning Analytics Advanced Certified Containers is vulnerable to a sensitive information disclosure vulnerabilityEPSS 0.1%