Falhas do tipo CWE-550

4 resultados

Mensagem de erro do servidor expondo informações sensíveis

O servidor retorna mensagens de erro que revelam detalhes internos da aplicação — caminhos de arquivos, nomes de bancos de dados, versões de software, stack traces — que não deveriam ser visíveis ao cliente. Um atacante usa essas informações para mapear a infraestrutura e identificar vulnerabilidades específicas.

Exemplo

Uma exceção não tratada em PHP exibe 'Fatal error in /var/www/html/admin/auth.php line 42' ou um erro SQL mostra 'Table users not found in database production_db'. O atacante descobre a estrutura do projeto e nomes de dados sensíveis.

Como mitigar

Configure mensagens genéricas para o usuário final ('Erro ao processar sua solicitação') e registre o stack trace completo apenas em logs internos, nunca retorne ao cliente. Use tratamento de exceções explícito e desabilite debug mode em produção.

CVE-2025-62168CRITICALSquid vulnerable to information disclosure via authentication credential leakage in error handlingEPSS 62.9%CVE-2023-40726HIGHA vulnerability has been identified in QMS Automotive (All versions < V12.39). The affected application server responds with sensitive inforEPSS 0.6%CVE-2023-5617MEDIUMHitachi Vantara Pentaho Data Integration & Analytics - Server-generated Error Message Containing Sensitive InformationEPSS 0.4%CVE-2025-36419MEDIUMMultiple vulnerabilities found in IBM ApplinX.EPSS 0.2%