Falhas do tipo CWE-829

242 resultados

Inclusão de funcionalidade de fonte não confiável

A aplicação importa ou carrega código, bibliotecas ou plugins de uma fonte que não pode ser verificada ou controlada adequadamente. Um atacante pode interceptar, modificar ou substituir esse componente externo, injetando malware ou lógica maliciosa na aplicação. O risco é crítico porque o código não confiável executa com os mesmos privilégios da aplicação.

Exemplo

Um app Node.js que baixa um módulo npm sem verificar assinatura ou hash, ou um desktop app que carrega uma DLL de um diretório acessível a usuários locais. Se o atacante conseguir colocar uma versão comprometida antes do carregamento, o código malicioso roda dentro do processo.

Como mitigar

Implemente verificação de integridade (hash criptográfico, assinatura digital) para todo código externo antes de executar. Use repositórios oficiais, versione explicitamente as dependências, bloqueie carregamento dinâmico de paths não seguros e mantenha um inventário de componentes confiáveis. Isole e revise regularmente dependências críticas.

CVE-2026-64807HIGHIn JetBrains WebStorm before 2026.2 arbitrary code execution was possible via a project-supplied linter configurationEPSS 0.2%CVE-2026-40959CRITICALLuanti 5 before 5.15.2, when LuaJIT is used, allows a Lua sandbox escape via a crafted mod.EPSS 0.2%CVE-2026-55487HIGHpnpm: manifest identity spoof satisfies allowBuilds and runs attacker lifecycleEPSS 0.2%CVE-2026-44358HIGHEspressif Shared GitHub DangerJS: Untrusted Search Path in DangerJS Action EntrypointEPSS 0.2%CVE-2026-6482HIGHLocal Privilege Escalation via OpenSSL configuration file in Insight AgentEPSS 0.2%CVE-2025-27582HIGHThe Secure Password extension in One Identity Password Manager before 5.14.4 allows local privilege escalation. The issue arises from a flawEPSS 0.2%CVE-2026-26959HIGHADB Explorer Vulnerable to RCE via Insufficient Input ValidationEPSS 0.2%CVE-2026-62222HIGHOpenClaw < 2026.5.22 Untrusted Plugin Loading via Setup-modeEPSS 0.2%CVE-2026-1342HIGHSecurity Vulnerabilities have been found in IBM Verify Identity Access and IBM Security Verify AccessEPSS 0.2%CVE-2026-42089HIGHyeoman-environment Vulnerable to Arbitrary Package Installation without User ConfirmationEPSS 0.2%CVE-2026-8426HIGHConcrete CMS 9.5.0 and below is vulnerable to CSRF on prepare_remote_upgrade() leading to one-request RCE via package overwriteEPSS 0.2%CVE-2026-89332MEDIUMKiro IDE Sensitive Workspace Data Exfiltration via Agent-Written Workspace ConfigurationEPSS 0.2%CVE-2026-7373HIGHMetasploit Pro on Windows: Local Privilege Escalation via OpenSSL Configuration File LoadingEPSS 0.2%CVE-2026-49986HIGHCortex has Untrusted Project Bootstrap Code Execution via `CLAUDE_PROJECT_DIR`EPSS 0.2%CVE-2026-22816HIGHGradle fails to disable repositories which can expose builds to malicious artifactsEPSS 0.2%CVE-2026-43940HIGHelecterm: Path traversal in electerm runWidget leads to arbitrary code executionEPSS 0.2%CVE-2025-36355HIGHIBM Security Verify Access code executionEPSS 0.2%CVE-2026-54325MEDIUMPi loads project-local extensions without approvalEPSS 0.2%CVE-2026-22306CRITICALCritical flaw impacting OZOLS ERP's automatic update channelEPSS 0.2%CVE-2026-16085MEDIUMSipeed PicoClaw context.go NewContextBuilder inclusion of functionality from untrusted control sphereEPSS 0.2%