Falhas do tipo CWE-767

4 resultados

Acesso a variável crítica privada através de método público

Ocorre quando uma classe expõe um método público que retorna ou modifica uma variável privada sensível, contornando a encapsulação. O desenvolvedor marca a variável como privada para protegê-la, mas cria um getter ou setter público que permite acesso irrestrito, negando o propósito da restrição de acesso.

Exemplo

Uma classe de autenticação tem uma variável privada 'senhaHash' e fornece um método público getSenhaHash() sem validação. Um atacante chama esse método para recuperar o hash e executar ataque de força bruta contra a senha.

Como mitigar

Revise métodos públicos que acessam dados sensíveis: aplique validação de quem chama (verificar privilégios), retorne cópias defensivas em vez de referências diretas, ou remova o acesso público caso seja desnecessário. Para dados críticos, use padrões como AccessControl ou implemente logs de acesso.

CVE-2016-8380—The web server in Phoenix Contact ILC PLCs allows access to read and write PLC variables without authentication.EPSS 11.2%CVE-2020-26868HIGHARC Informatique PcVue Access to Critical Private Variable via Public MethodEPSS 2.1%CVE-2024-36463MEDIUMThe implementation of atob in "Zabbix JS" allows to create a string with arbitrary content and use it to access internal properties of objecEPSS 0.8%CVE-2024-34162MEDIUMThe web interface of the affected devices is designed to hide the LDAP credentials even for administrative users. But configuring LDAP autheEPSS 0.8%