Falhas do tipo CWE-798

1.013 resultados

Credenciais codificadas em tempo de compilação

É quando senhas, chaves de API, tokens ou outras credenciais são gravadas diretamente no código-fonte ou em arquivos de configuração sem proteção. O desenvolvedor deixa explícito no binário ou repositório dados que deveriam ser secretos, permitindo que qualquer pessoa com acesso ao código ou ao executável extraia as credenciais e acesse sistemas protegidos.

Exemplo

Um desenvolvedor coloca `const apiKey = 'sk-prod-abc123xyz'` no código JavaScript, ou deixa `<password>admin123</password>` em um arquivo XML dentro da aplicação. Um atacante ou concorrente com acesso ao repositório Git ou ao APK extraído consegue encontrar e usar essas credenciais em produção.

Como mitigar

Armazene credenciais em variáveis de ambiente, cofres de segurança (como AWS Secrets Manager, HashiCorp Vault, Azure Key Vault) ou arquivos de configuração externos não versionados. Nunca commite credenciais no repositório; use ferramentas de escaneamento de repositórios para detectar padrões de senhas antes do push.

CVE-2026-14866HIGHIBM i Access Client Solutions (ACS) is Affected By Multiple VulnerabilitiesEPSS 0.1%CVE-2024-7295HIGHHard-coded credentials used for temporary and cache data encryptionEPSS 0.1%CVE-2025-65855MEDIUMThe OTA firmware update mechanism in Netun Solutions HelpFlash IoT (firmware v18_178_221102_ASCII_PRO_1R5_50) uses hard-coded WiFi credentiaEPSS 0.1%CVE-2026-36606HIGHMercusys AC12G (EU) V1 router with firmware AC12G(EU)_V1_200909 encrypts configuration backups with a hardcoded DES key using single DES in EPSS 0.1%CVE-2026-17644HIGHIBM Financial Transaction Manager (FTM) is Impacted by Multiple VulnerabilitiesEPSS 0.1%CVE-2026-85422HIGHA vulnerability in Brocade ASCG version before 3.5.0 could allow an attacker to obtain a static cryptographic key hardcoded into the softwarEPSS 0.1%CVE-2025-37112MEDIUMHard-Coded Encryption Keys found in SystemEPSS 0.1%CVE-2025-12708MEDIUMMultiple Vulnerabilities in IBM Concert SoftwareEPSS 0.1%CVE-2026-84250HIGHIBM Guardium Data Protection Hard-coded CredentialsEPSS 0.1%CVE-2026-26334HIGHCalero VeraSMART < 2026 R1 Hardcoded Static AES Keys Allow Decryption of Service CredentialsEPSS 0.1%CVE-2026-85488HIGHBrocade ASCG before 3.5.0 has a well-known Brocade default password embedded in a script distributed to every customer. Any local authenticaEPSS 0.1%CVE-2026-27873MEDIUM- Use of Hard-coded Credentials vulnerability in Johnson Controls EasyIO FG allows - Pasword Spraying. This issue affects EasyIO FG: beforeEPSS 0.1%CVE-2026-25600MEDIUMCredential Exposure Vulnerability in Trac PDBMEPSS 0.1%