Falhas do tipo CWE-841

91 resultados

Falha na Imposição do Fluxo de Trabalho Esperado

A aplicação não valida ou não garante que as operações sejam executadas na sequência correta que o negócio exige. Um usuário consegue pular etapas, executar ações fora de ordem ou contornar verificações intermediárias, comprometendo a integridade do processo. Isso permite manipulação de workflows críticos como aprovações, pagamentos ou mudanças de estado.

Exemplo

Um sistema de e-commerce que permite um cliente marcar um pedido como 'entregue' antes de ele ter sido 'enviado', ou uma aplicação financeira que deixa confirmar uma transação sem validar se a análise de risco foi completada. O ataque é direto: ir direto ao passo final, ignorando as etapas de segurança.

Como mitigar

Implemente máquinas de estado no backend que validem transições de estado permitidas antes de cada operação (não confie em controles de frontend). Registre e audite todas as mudanças de workflow. Considere usar frameworks ou bibliotecas especializadas em orquestração de processos que reforçam automaticamente o fluxo.

CVE-2025-2323MEDIUM274056675 springboot-openai-chatgpt Number of Question questionCou updateQuestionCou behavioral workflowEPSS 0.5%CVE-2026-43937HIGHYAF.NET: Pre-Handler Authorization Bypass on Admin Pages Enabling Blind SQL Execution via `/Admin/RunSql`EPSS 0.5%CVE-2026-43974HIGHgun HTTP/1.1 client accepts unsolicited 101 Switching Protocols response allowing server-driven protocol hijack and OOMEPSS 0.5%CVE-2025-48478HIGHFreeScout Has Business Logic ErrorsEPSS 0.5%CVE-2024-0410HIGHImproper Enforcement of Behavioral Workflow in GitLabEPSS 0.5%CVE-2024-46307HIGHA loop hole in the payment logic of Sparkshop v1.16 allows attackers to arbitrarily modify the number of products.EPSS 0.5%CVE-2025-13459LOWIBM Aspera Console Denial of ServiceEPSS 0.4%CVE-2026-113165HIGHInappropriate implementation in Core in Google Chrome on on Mac prior to 156.0.8078.47 allowed a remote attacker who had compromised the renEPSS 0.4%CVE-2026-82423MEDIUMmacrozheng mall Payment Status Endpoint paySuccess behavioral workflowEPSS 0.4%CVE-2026-82406HIGHKlever-Go: Zombie-order theft: `Buy` missing `IsClaimed` guard in native marketplaceEPSS 0.4%CVE-2026-30783MEDIUMRustDesk Client Can Orphan API Channel to Ignore All Admin Commands and ACL PoliciesEPSS 0.4%CVE-2026-78618MEDIUMDimension Business Logic Flaw Allows Chained Backend Object OperationsEPSS 0.4%CVE-2024-39325MEDIUMaimeos/ai-controller-frontend doesn't reset payment status in basketEPSS 0.4%CVE-2026-19208MEDIUMWonderTrader TraderDD.cpp queryTrades behavioral workflowEPSS 0.4%CVE-2026-78135MEDIUMlibcharon in strongSwan 5.9.7 through 6.0.7 mishandles behavioral workflow in the IKEv2 state machine. Because CREATE_CHILD_SA requests are EPSS 0.4%CVE-2026-103977HIGHFileRise: Session-scoped TOTP rate limiting permits repeated verification attemptsEPSS 0.4%CVE-2026-113308HIGHInappropriate implementation in Core in Google Chrome prior to 156.0.8078.47 allowed a remote attacker who had compromised the renderer procEPSS 0.4%CVE-2026-109231MEDIUMGermanized for WooCommerce <= 4.1.4 - Authenticated (Subscriber+) Unauthorized Access of Private Data via Activation Token Reuse via Activation Token Reuse After Email ChangeEPSS 0.4%CVE-2026-19993MEDIUMWebkul Bagisto RMA State Validation update-status behavioral workflowEPSS 0.4%CVE-2026-19037MEDIUMWonderTrader Internal Limit Order Book Cache MatchEngine.cpp update_lob behavioral workflowEPSS 0.4%