Falhas do tipo CWE-798

943 resultados

Credenciais codificadas em tempo de compilação

É quando senhas, chaves de API, tokens ou outras credenciais são gravadas diretamente no código-fonte ou em arquivos de configuração sem proteção. O desenvolvedor deixa explícito no binário ou repositório dados que deveriam ser secretos, permitindo que qualquer pessoa com acesso ao código ou ao executável extraia as credenciais e acesse sistemas protegidos.

Exemplo

Um desenvolvedor coloca `const apiKey = 'sk-prod-abc123xyz'` no código JavaScript, ou deixa `<password>admin123</password>` em um arquivo XML dentro da aplicação. Um atacante ou concorrente com acesso ao repositório Git ou ao APK extraído consegue encontrar e usar essas credenciais em produção.

Como mitigar

Armazene credenciais em variáveis de ambiente, cofres de segurança (como AWS Secrets Manager, HashiCorp Vault, Azure Key Vault) ou arquivos de configuração externos não versionados. Nunca commite credenciais no repositório; use ferramentas de escaneamento de repositórios para detectar padrões de senhas antes do push.

CVE-2020-36915HIGHAdtec Digital SignEdje Digital Signage Player v2.08.28 Default CredentialsEPSS 0.4%CVE-2026-92787CRITICALFeast through 0.66.0 Authentication Bypass via Unverified TokenEPSS 0.4%CVE-2025-7358HIGHUse of Hard-coded Credentials in Utarit Informatics' SoliClubEPSS 0.4%CVE-2026-27507CRITICALBinardat 10G08-0800GSM Network Switch Hard-coded CredentialsEPSS 0.4%CVE-2025-33186HIGHNVIDIA AIStore contains a vulnerability in AuthN. A successful exploit of this vulnerability might lead to escalation of privileges, informaEPSS 0.4%CVE-2025-13293CRITICALBackdoor / default root credentialsEPSS 0.4%CVE-2024-48192HIGHTenda G3 v15.01.0.5(2848_755)_EN was discovered to contain a hardcoded password vulnerability in /etc_ro/shadow, which allows attackers to lEPSS 0.4%CVE-2025-47730MEDIUMThe TeleMessage archiving backend through 2025-05-05 accepts API calls (to request an authentication token) from the TM SGNL (aka Archive SiEPSS 0.4%CVE-2024-45861CRITICALUse of Hard-coded Credentials in Kastle Systems Access Control SystemEPSS 0.4%CVE-2026-25803CRITICAL3DP-MANAGER Uses Hard-coded CredentialsEPSS 0.4%CVE-2026-57148CRITICALpraisonai-platform 0.1.4 still boots on the hardcoded JWT secret dev-secret-change-me (default-open production guard)EPSS 0.4%CVE-2024-49060HIGHAzure Stack HCI Elevation of Privilege VulnerabilityEPSS 0.4%CVE-2024-9334HIGHInformation Disclosure in E-Kent's Pallium Vehicle TrackingEPSS 0.4%CVE-2024-32988HIGH'OfferBox' App for Android versions 2.0.0 to 2.3.17 and 'OfferBox' App for iOS versions 2.1.7 to 2.6.14 use a hard-coded secret key for JWT.EPSS 0.4%CVE-2023-33920MEDIUMA vulnerability has been identified in CP-8031 MASTER MODULE (All versions < CPCI85 V05), CP-8050 MASTER MODULE (All versions < CPCI85 V05).EPSS 0.4%CVE-2026-50083CRITICALAqara hardcoded OAuth client credentialsEPSS 0.4%CVE-2023-36380CRITICALA vulnerability has been identified in CP-8031 MASTER MODULE (All versions < CPCI85 V05.11 (only with activated debug support)), CP-8050 MASEPSS 0.4%CVE-2026-37012HIGHA vulnerability in pentestgpt/core/langfuse.py in PentestGPT 1.0.0 allows remote attackers to disclose sensitive user telemetry data via harEPSS 0.4%CVE-2024-52902HIGHIBM Cognos Controller information disclosureEPSS 0.4%CVE-2025-43982CRITICALShenzhen Tuoshi NR500-EA RG500UEAABxCOMSLICv3.4.2731.16.43 devices enable the SSH service by default. There is a hidden hard-coded root accoEPSS 0.4%