Falhas do tipo CWE-538

105 resultados

Exposição de informações sensíveis em arquivos ou diretórios acessíveis externamente

A aplicação escreve dados sensíveis (senhas, tokens, chaves API, PII) em arquivos ou diretórios que podem ser acessados por usuários não autorizados ou pela internet. Isso acontece por falta de controle de permissões adequado ou armazenamento em local público, expondo credenciais e dados críticos.

Exemplo

Um aplicativo salva chaves de acesso ao banco de dados em um arquivo .config dentro da raiz web, ou gera logs de debug contendo tokens de autenticação em /tmp acessível globalmente. Um atacante consegue ler esses arquivos e comprometer a aplicação ou dados do usuário.

Como mitigar

Armazene dados sensíveis fora do escopo web (diretório não servido), use variáveis de ambiente ou sistemas de gestão de secrets (Vault, AWS Secrets Manager), aplique permissões restritivas (chmod 600) e evite logar ou cachear credenciais em texto plano.

CVE-2021-3709MEDIUMApport file permission bypass through emacs byte compilation errorsEPSS 0.5%CVE-2024-22045HIGHA vulnerability has been identified in SINEMA Remote Connect Client (All versions < V3.1 SP1). The product places sensitive information intoEPSS 0.4%CVE-2025-31550MEDIUMWordPress WP-LESS plugin <= 1.9.6 - Sensitive Data Exposure vulnerabilityEPSS 0.4%CVE-2026-12762MEDIUMInsertion of Sensitive Information into Externally-Accessible File in IBM Business Automation InsightsEPSS 0.4%CVE-2025-31558MEDIUMWordPress TailPress plugin <= 0.4.4 - Sensitive Data Exposure vulnerabilityEPSS 0.4%CVE-2026-7071MEDIUMCodeAstro Online Job Portal user-cvs file information disclosureEPSS 0.4%CVE-2025-27150MEDIUMTuleap dumps the Redis password into the generated troubleshooting archivesEPSS 0.4%CVE-2025-22773MEDIUMWordPress Htaccess File Editor <= 1.0.19 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2025-22306MEDIUMWordPress Link Whisper Free plugin <= 0.7.7 - Sensitive Data Exposure vulnerabilityEPSS 0.4%CVE-2012-4574MEDIUMPulp: red hat cloudforms: pulp in red hat cloudforms: information disclosure via world-readable configuration fileEPSS 0.4%CVE-2025-12059CRITICALImproper Access Control in Logo Software's Logo j-PlatformEPSS 0.4%CVE-2026-44828CRITICALQexo initialization endpoint can reset setup state and expose stored credentialsEPSS 0.4%CVE-2026-119199MEDIUMNuxt dev server exposes private runtime config through the Nitro dev bundleEPSS 0.4%CVE-2026-46617HIGHFission runtime pods automount the fission-fetcher service-account token into the user function container, granting function code namespace-wide secret / configmap readEPSS 0.3%CVE-2026-112027MEDIUMlight0011 cms Uploadify check-exists.php file_exists file information disclosureEPSS 0.3%CVE-2022-23508HIGHGitOps Run allows for Kubernetes workload injectionEPSS 0.3%CVE-2025-11891MEDIUMShelf Planner <= 2.8.1 - Unauthenticated Information Exposure via Log FilesEPSS 0.3%CVE-2026-108937MEDIUMcode-projects Online Ticket Reservation System medallion.sql file information disclosureEPSS 0.3%CVE-2025-22633MEDIUMWordPress Give – Divi Donation Modules plugin <= 2.0.0 - Sensitive Data Exposure vulnerabilityEPSS 0.3%CVE-2026-10254MEDIUMSourceCodester Pet Grooming Management Software admin file information disclosureEPSS 0.3%