Falhas do tipo CWE-829

317 resultados

Inclusão de funcionalidade de fonte não confiável

A aplicação importa ou carrega código, bibliotecas ou plugins de uma fonte que não pode ser verificada ou controlada adequadamente. Um atacante pode interceptar, modificar ou substituir esse componente externo, injetando malware ou lógica maliciosa na aplicação. O risco é crítico porque o código não confiável executa com os mesmos privilégios da aplicação.

Exemplo

Um app Node.js que baixa um módulo npm sem verificar assinatura ou hash, ou um desktop app que carrega uma DLL de um diretório acessível a usuários locais. Se o atacante conseguir colocar uma versão comprometida antes do carregamento, o código malicioso roda dentro do processo.

Como mitigar

Implemente verificação de integridade (hash criptográfico, assinatura digital) para todo código externo antes de executar. Use repositórios oficiais, versione explicitamente as dependências, bloqueie carregamento dinâmico de paths não seguros e mantenha um inventário de componentes confiáveis. Isole e revise regularmente dependências críticas.

CVE-2026-123849HIGHIn JetBrains IntelliJ IDEA before 2026.3 code execution was possible in untrusted projects via the Terraform File WatchersEPSS 0.1%CVE-2026-48124HIGHCursor Desktop sandbox escape via Claude hook configurationEPSS 0.1%CVE-2026-123308MEDIUMIn JetBrains IntelliJ IDEA before 2026.3 code execution via the document import was possible in untrusted projectsEPSS 0.1%CVE-2026-96269HIGHGNU Emacs 28.1 through 31.1 allows arbitrary code execution upon opening a file, because an untrusted value of read-symbol-shorthands affectEPSS 0.1%CVE-2026-15564HIGHWildfly-ejb: wildfly-iiop-openjdk: eap iiop listeners may permit unauthed deserializationEPSS 0.1%CVE-2026-66141HIGHExim before 4.99.5 allows .forward privilege escalation because force_command for a pipe transport is mishandled.EPSS 0.1%CVE-2026-95649MEDIUMIRISPowerscan Insufficient restriction of untrusted scripts allows arbitrary code executionEPSS 0.1%CVE-2026-6357MEDIUMpip self-update functionality can import newly installed modules after wheel installationEPSS 0.1%CVE-2026-44995MEDIUMOpenClaw < 2026.4.20 - Arbitrary Code Execution via MCP stdio Environment VariablesEPSS 0.1%CVE-2026-111091HIGHIn JetBrains Junie CLI before 26.8.3 code execution was possible via an untrusted project's MCP server configurationEPSS 0.1%CVE-2026-95985HIGHKiro IDE Allows Agentic Writes to Global Configurations While Working in Untrusted WorkspacesEPSS 0.1%CVE-2026-73076HIGHVim: Arbitrary Command Execution via Malicious `.VimballRecord` Entry Replay in `vimball.vim`EPSS 0.1%CVE-2025-69257MEDIUMtheshit vulnerable to unsafe loading of user-owned Python rules when running as root.EPSS 0.1%CVE-2026-100256HIGHIn JetBrains IntelliJ IDEA before 2026.2.3 rCE via Structural Search script constraints was possible in untrusted projectsEPSS 0.1%CVE-2026-41336HIGHOpenClaw < 2026.3.31 - Arbitrary Hook Code Execution via OPENCLAW_BUNDLED_HOOKS_DIR Environment Variable OverrideEPSS 0.1%CVE-2026-22217MEDIUMOpenClaw 2026.2.22 < 2026.2.23 - Arbitrary Binary Execution via $SHELL Environment Variable Trusted Prefix FallbackEPSS 0.1%CVE-2026-8428HIGHCSRF token is not validated in the core CMS update controller for Concrete CMS 9.5.0 and belowEPSS 0.1%CVE-2026-41295HIGHOpenClaw < 2026.4.2 - Untrusted Workspace Channel Shadow Code Execution during Built-in Channel SetupEPSS 0.1%CVE-2025-57729MEDIUMIn JetBrains IntelliJ IDEA before 2025.2 unexpected plugin startup was possible due to automatic LSP server startEPSS 0.1%CVE-2026-12057HIGHDoS + Remote Code Execution via PDF JavaScript in Foxit AIEPSS 0.1%