Falhas do tipo CWE-88

378 resultados

Divulgação de Informações

Falha que permite que dados sensíveis (senhas, tokens, chaves, dados pessoais) sejam expostos a usuários ou atacantes que não deveriam ter acesso. O código não implementa controles adequados de acesso ou deixa informações sensíveis visíveis em logs, mensagens de erro, respostas HTTP ou memória.

Exemplo

Um servidor retorna mensagens de erro detalhadas que revelam estrutura do banco de dados, caminhos de arquivos ou nomes de usuários válidos. Ou uma API expõe dados de usuários em resposta JSON sem validar permissões, permitindo qualquer cliente listar informações alheias.

Como mitigar

Implemente controle de acesso baseado em papéis (RBAC), sanitize mensagens de erro para não expor detalhes internos, revise logs e respostas da API antes de enviar ao cliente, criptografe dados em repouso e em trânsito. Teste regularmente com ferramentas de fuzzing e análise de dados expostos.

CVE-2021-1484MEDIUMCisco SD-WAN vManage Command Injection VulnerabilityEPSS 1.2%CVE-2022-23740HIGHImproper Neutralization of Argument Delimiters in a Command in GitHub Enterprise Server leading to Remote Code ExecutionEPSS 1.2%CVE-2026-54501CRITICALBrowsertrix: Arbitrary Command Injection due to Improper Command Sanitization in Git URLs specified as Custom BehaviorsEPSS 1.2%CVE-2022-29215HIGHArgument Injection in RegionProtectEPSS 1.2%CVE-2023-6792MEDIUMPAN-OS: OS Command Injection Vulnerability in the XML APIEPSS 1.1%CVE-2026-90865CRITICALCommand Injection via FTP Notification Variables in Progress WS_FTP ServerEPSS 1.1%CVE-2023-26143MEDIUMVersions of the package blamer before 1.0.4 are vulnerable to Arbitrary Argument Injection via the blameByFile() API. The library does not sEPSS 1.1%CVE-2026-22738CRITICALSpEL Injection via Unescaped Filter Key in SimpleVectorStore Leads to Remote Code ExecutionEPSS 1.1%CVE-2023-26310HIGHCommand Injection In OPPO ServiceEPSS 1.1%CVE-2024-3684HIGHImproper Privilege Management was identified in GitHub Enterprise Server that allowed privilege escalation in the Management ConsoleEPSS 1.1%CVE-2026-82413HIGHntopng: authenticated (non-admin) OS command injection via the vulnerability-scan `scan_ports` parameter (`nmap` argument reaches `popen`)EPSS 1.1%CVE-2025-48385HIGHGit alllows arbitrary file writes via bundle-uri parameter injectionEPSS 1.1%CVE-2026-105788HIGHMicrosoft UFO: Authenticated Android shell command injection in Mobile MCP type_text and launch_appEPSS 1.1%CVE-2026-65770CRITICALAzure Managed Instance for Apache Cassandra Remote Code Execution VulnerabilityEPSS 1.1%CVE-2025-35006HIGHMicrohard Bullet-LTE and IPn4Gii AT+MFPORTFWD Argument InjectionEPSS 1.1%CVE-2025-35008HIGHMicrohard Bullet-LTE and IPn4Gii AT+MMNAME Argument InjectionEPSS 1.1%CVE-2025-35007HIGHMicrohard Bullet-LTE and IPn4Gii AT+MFRULE Argument InjectionEPSS 1.1%CVE-2025-35010HIGHMicrohard Bullet-LTE and IPn4Gii AT+MNPINGTM Argument InjectionEPSS 1.1%CVE-2025-35009HIGHMicrohard Bullet-LTE and IPn4Gii AT+MNNETSP Argument InjectionEPSS 1.1%CVE-2025-35004HIGHMicrohard Bullet-LTE and IPn4Gii AT+MFIP Argument InjectionEPSS 1.1%