Falhas do tipo CWE-540

33 resultados

Inclusão de informações sensíveis no código-fonte

Desenvolvedores deixam credenciais, chaves de API, tokens ou dados sensíveis hardcoded diretamente no código ou em arquivos de configuração versionados. Quando esse código é exposto (repositório público, leak, análise de binários), qualquer pessoa consegue acessar sistemas protegidos ou roubar dados sem quebrar nada.

Exemplo

Um dev commita uma chave AWS ou senha de banco de dados em um arquivo .env que acaba no repositório Git público. Um atacante clona o repo, encontra a credencial e acessa a infraestrutura da empresa antes mesmo de explorar qualquer vulnerabilidade técnica.

Como mitigar

Use variáveis de ambiente ou gestores de secrets (HashiCorp Vault, AWS Secrets Manager) para armazenar credenciais fora do código. Configure .gitignore para nunca versionar arquivos sensíveis e faça varredura automática de repositórios (com ferramentas como git-secrets ou Talisman) para detectar padrões de secrets antes do commit.

CVE-2024-27257MEDIUMIBM OpenPages information disclosureEPSS 0.3%CVE-2026-45728HIGHAlgernon: Single-file mode unconditionally enables debug modeEPSS 0.3%CVE-2025-0923MEDIUMIBM Cognos Analytics information disclosureEPSS 0.3%CVE-2026-35383MEDIUMBentley Systems iTwin Platform exposed access tokenEPSS 0.3%CVE-2024-38327MEDIUMIBM Analytics Content Hub information disclosureEPSS 0.3%CVE-2024-55907LOWIBM Cognos Mobile information disclosureEPSS 0.3%CVE-2021-28805HIGHInclusion of Sensitive Information in QSSEPSS 0.2%CVE-2026-16581MEDIUMInclusion of sensitive information in source code in igloohome Smart Lock Mobile ApplicationEPSS 0.2%CVE-2025-36299MEDIUMIBM Planning Analytics Information DisclosureEPSS 0.2%CVE-2023-35013LOWIBM Security Verify Governance information disclosureEPSS 0.2%CVE-2026-22275MEDIUMDell ECS, versions 3.8.1.0 through 3.8.1.7, and Dell ObjectScale versions prior to 4.2.0.0, contains an Inclusion of Sensitive Information iEPSS 0.1%CVE-2023-39250HIGH Dell Storage Integration Tools for VMware (DSITV) and Dell Storage vSphere Client Plugin (DSVCP) versions prior to 6.1.1 and Replay ManagEPSS 0.1%CVE-2025-36076MEDIUMIBM Cognos Analytics versions 12.0.4 and 12.1.3 is affected by security vulnerabilitiesEPSS —