Falhas do tipo CWE-696

54 resultados

Ordem incorreta de operações

Ocorre quando o código executa operações em sequência errada, violando pré-condições ou causando estados inválidos. Por exemplo, validar um dado depois de usá-lo, ou liberar um recurso antes de garantir que ninguém mais o está acessando. O resultado é comportamento imprevisível, bypasses de segurança ou corrupção de dados.

Exemplo

Um banco de dados deleta um registro e só depois verifica se o usuário tinha permissão para deletá-lo. Nesse intervalo, outro processo pode tentar acessar o registro inexistente, ou a autorização é checada tarde demais para impedir o dano.

Como mitigar

Realize checks de validação e autorização ANTES de qualquer operação crítica. Use padrões transacionais ou locks para garantir atomicidade. Documente explicitamente a sequência esperada de operações e revise fluxos em code review focando em dependências entre passos.

CVE-2024-45157MEDIUMAn issue was discovered in Mbed TLS before 2.28.9 and 3.x before 3.6.1, in which the user-selected algorithm is not used. Unlike previously EPSS 0.2%CVE-2024-24853HIGHIncorrect behavior order in transition between executive monitor and SMI transfer monitor (STM) in some Intel(R) Processor may allow a priviEPSS 0.2%CVE-2026-33305MEDIUMOpenEMR has Authorization Bypass in FaxSMS AppDispatch ConstructorEPSS 0.2%CVE-2026-59305LOWPartition interceptor may be improperly added while sending messageEPSS 0.2%CVE-2026-93330MEDIUMImproper rule enforcement in the PAM Active Directory provider in Devolutions Server 2026.3.5 allows a user with PAM edit permissions to bypEPSS 0.2%CVE-2021-47688MEDIUMIn WhiteBeam 0.2.0 through 0.2.1 before 0.2.2, a user with local access to a server can bypass the allow-list functionality because a file cEPSS 0.2%CVE-2026-103353MEDIUMWordPress FluentForm plugin <= 6.2.14 - Broken Access Control vulnerabilityEPSS 0.2%CVE-2026-110450HIGHNix before 2.35.3 and Lix before 2.95.4 allow privilege escalation via a repair operation because it could destroy and then replace a store EPSS 0.2%CVE-2026-93304MEDIUM(D)TLS 1.2 client accepts early ChangeCipherSpec before ClientKeyExchangeEPSS 0.2%CVE-2026-49317LOWIndian Scout Bobber 2025 Infotainment Digital Round skips PIN entry when WCM is silent at bootEPSS 0.1%CVE-2026-49318LOWIndian Scout Bobber 2025 Infotainment Digital Round skips PIN entry when WCM is silent at bootEPSS 0.1%CVE-2026-105745MEDIUMDocling: Plugin entry points are imported before the allow_external_plugins checkEPSS 0.1%CVE-2026-103012LOWClaude Code selected an API key stored by Claude Code, for example from an earlier `/login` or written directly to its configuration, ahead EPSS 0.1%CVE-2026-40223MEDIUMIn systemd 258 before 260, a local unprivileged user can trigger an assert when a Delegate=yes and User=<unset> unit exists and is running.EPSS 0.1%