Falhas do tipo CWE-636

79 resultados

Degradação para estado menos seguro em caso de erro

É quando o software, ao encontrar uma falha ou erro, recua automaticamente para um modo de operação menos seguro — como criptografia mais fraca, controle de acesso permissivo ou autenticação relaxada. O perigo: o atacante pode forçar o erro para explorar o fallback inseguro, transformando uma falha em brecha de segurança.

Exemplo

Um serviço tenta conectar com TLS 1.3, mas se falhar recai para SSL 3.0. Ou um sistema de autenticação multi-fator que, se o segundo fator não responder, aceita apenas a senha — permitindo ao atacante apenas bloquear o segundo fator para contornar a proteção.

Como mitigar

Nunca faça fallback para opções menos seguras: ou a operação funciona no nível de segurança exigido, ou ela falha explicitamente. Se há degradação inevitável (ex: compatibilidade), ela deve ser explícita, auditada e nunca automática em face de erro.

CVE-2026-107314MEDIUMpgjdbc does not enforce requireAuth when the value excludes every authentication methodEPSS 0.3%CVE-2026-114479MEDIUMNot Failing Securely ('Failing Open') in hMailServerEPSS 0.3%CVE-2026-40249MEDIUMfree5gc UDR fail-open request handling in PolicyDataSubsToNotifySubsIdPut may allow unintended subscription updates after input errorsEPSS 0.3%CVE-2026-42423HIGHOpenClaw < 2026.4.8 - strictInlineEval Approval Boundary Bypass via Approval-Timeout FallbackEPSS 0.3%CVE-2026-41334HIGHOpenClaw < 2026.3.31 - Decompression Bomb Denial of Service via Image Pixel-Limit Guard BypassEPSS 0.3%CVE-2023-22943MEDIUMModular Input REST API Requests Connect via HTTP after Certificate Validation Failure in Splunk Add-on Builder and Splunk CloudConnect SDKEPSS 0.3%CVE-2026-42246HIGHnet-imap vulnerable to STARTTLS stripping via invalid response timingEPSS 0.3%CVE-2024-2660MEDIUMVault TLS Cert Auth Method Did Not Correctly Validate OCSP ResponsesEPSS 0.3%CVE-2026-105933LOWApache Pulsar: Namespace encryption requirement not enforced after a failure during topic initializationEPSS 0.3%CVE-2026-62235LOWGrav Flex-Objects < 1.4.3 Authorization Bypass via APIEPSS 0.3%CVE-2026-53712HIGHSCRAM: Silent channel-binding authentication downgrade via unsupported certificate algorithmsEPSS 0.3%CVE-2026-27448LOWpyOpenSSL allows TLS connection bypass via unhandled callback exception in set_tlsext_servername_callbackEPSS 0.3%CVE-2026-82018MEDIUMIGEL OS 12 / 11 Secure Boot Bypass via Unsigned igel.conf FileEPSS 0.3%CVE-2026-103502MEDIUMhex_core's default HTTP adapter doesn't verify TLS certificates on OTP 24 and 25EPSS 0.2%CVE-2026-88831MEDIUMBusybox: busybox: httpd silently fails open when ip deny rules contain invalid cidr prefix lengthsEPSS 0.2%CVE-2021-3614MEDIUMA vulnerability was reported on some Lenovo Notebook systems that could allow an attacker with physical access to elevate privileges under cEPSS 0.2%CVE-2026-54291HIGHSilent channel-binding authentication downgrade via unsupported certificate algorithmsEPSS 0.2%CVE-2026-45781LOWMCP Registry: OCI ownership validation fails open on upstream rate limits, allowing attacker-controlled package claimsEPSS 0.2%CVE-2026-41377MEDIUMOpenClaw < 2026.3.31 - Fail-Open Security Scan Bypass in Plugin InstallationEPSS 0.2%CVE-2025-54870HIGHVTun-ng's failure to initialize encryption modules may cause reversion to plaintextEPSS 0.2%