Falhas do tipo CWE-67
5 resultadosManipulação inadequada de nomes de dispositivos Windows
A fraqueza ocorre quando uma aplicação não valida ou filtra corretamente nomes de arquivo que coincidem com dispositivos reservados do Windows (como CON, PRN, AUX, NUL, COM1-COM9, LPT1-LPT9). Um atacante pode explorar isso para executar operações não autorizadas, contornar validações de entrada ou provocar comportamentos inesperados no sistema.
Uma aplicação salva arquivos de upload usando o nome fornecido pelo usuário sem verificação. Se alguém envia um arquivo chamado 'CON.txt' ou 'PRN.log', o Windows redireciona a operação para o dispositivo console ou impressora, causando erro ou comportamento malicioso em vez de criar o arquivo esperado.
Implemente uma lista de bloqueio (whitelist) para nomes de dispositivos reservados do Windows e rejeite ou renomeie automaticamente qualquer entrada que corresponda. Valide nomes de arquivo antes de qualquer operação de I/O, especialmente em uploads ou geração de arquivos baseados em entrada de usuário.