Falhas do tipo CWE-797
1 resultadoUso de credenciais fixas no código (verificar ID: o nome corresponde ao CWE-798, não ao CWE-797)
Senhas, chaves de API, tokens ou outros segredos são gravados diretamente no código-fonte, em arquivos de configuração versionados ou em binários, em vez de serem fornecidos em tempo de execução. Como o valor é o mesmo em todas as instalações e fica acessível a quem lê o código ou o pacote, qualquer pessoa com esse acesso consegue autenticar-se. A correção de um segredo vazado exige nova release, e não apenas a troca de uma configuração. Observação: o rótulo CWE-797 da base não bate com este nome. Pelo nome informado, a explicação refere-se ao CWE-798; confirme o identificador antes de publicar.
Um serviço de integração traz no repositório uma string como `db_password = "Admin@2019"` para conectar ao banco de produção. Quando o repositório vaza, ou um cliente recebe o executável, o atacante usa essa senha diretamente, sem explorar nenhuma falha adicional.
Remova segredos do código e do versionamento, e carregue-os em tempo de execução a partir de um cofre (como Vault, AWS Secrets Manager ou variáveis de ambiente injetadas pelo orquestrador). Faça varredura de segredos no CI (ex.: gitleaks, trufflehog) e rotacione imediatamente qualquer credencial que já tenha sido exposta no histórico do repositório.