Falhas do tipo CWE-88

378 resultados

Divulgação de Informações

Falha que permite que dados sensíveis (senhas, tokens, chaves, dados pessoais) sejam expostos a usuários ou atacantes que não deveriam ter acesso. O código não implementa controles adequados de acesso ou deixa informações sensíveis visíveis em logs, mensagens de erro, respostas HTTP ou memória.

Exemplo

Um servidor retorna mensagens de erro detalhadas que revelam estrutura do banco de dados, caminhos de arquivos ou nomes de usuários válidos. Ou uma API expõe dados de usuários em resposta JSON sem validar permissões, permitindo qualquer cliente listar informações alheias.

Como mitigar

Implemente controle de acesso baseado em papéis (RBAC), sanitize mensagens de erro para não expor detalhes internos, revise logs e respostas da API antes de enviar ao cliente, criptografe dados em repouso e em trânsito. Teste regularmente com ferramentas de fuzzing e análise de dados expostos.

CVE-2026-17347HIGHpgAdmin 4: OS command injection in MASTER_PASSWORD_HOOK via untrusted username substitutionEPSS 0.7%CVE-2026-112944MEDIUMlaunch-editor: Editor CLI flag misinterpretation causing arbitrary command execution for some editorsEPSS 0.7%CVE-2026-96620CRITICALClaude Agent SDK: Argument Injection via resume Option Allows Arbitrary Command ExecutionEPSS 0.7%CVE-2026-47114HIGHIINA < 1.4.3 Command Execution via iina://open URL SchemeEPSS 0.7%CVE-2026-89036HIGHAppwrite < 2.0.0 Argument Injection via providerRootDirectory ParameterEPSS 0.7%CVE-2026-105789MEDIUMMicrosoft UFO: Arbitrary file write in the Linux MCP `execute_command` toolEPSS 0.7%CVE-2026-49987HIGHRepomix: Command Injection (RCE) via `--remote-branch` Argument InjectionEPSS 0.7%CVE-2024-39933HIGHGogs through 0.13.0 allows argument injection during the tagging of a new release.EPSS 0.7%CVE-2020-7808HIGHRAONWIZ Inc K Upload, arguments modiffication via missing support for integrity check vulnerabilityEPSS 0.7%CVE-2026-44193CRITICALOPNsense: RCE via XMLRPC endpoint using `opnsense.restore_config_section` methodEPSS 0.7%CVE-2025-52480HIGHRegistrator.jl Argument Injection VulnerabilityEPSS 0.7%CVE-2026-91909MEDIUMDell OpenManage Enterprise, versions prior to 4.8.0, contains an Improper Neutralization of Argument Delimiters in a Command ('Argument InjeEPSS 0.7%CVE-2026-107639HIGHILIAS before 9.24, 10.12, and 11.5 Argument Injection via Image Map Question Upload FilenameEPSS 0.7%CVE-2026-63046HIGHApache InLong: Agent Installer — Command Injection to RCE via Default CredentialsEPSS 0.7%CVE-2026-108390CRITICALHestiaCP Low-Privileged User to Root via Config-Field Injection and PATH HijackingEPSS 0.7%CVE-2022-36322MEDIUMIn JetBrains TeamCity before 2022.04.2 build parameter injection was possibleEPSS 0.7%CVE-2026-8044HIGHCWE-88: Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') vulnerability exists that could cause remote codeEPSS 0.7%CVE-2026-28197CRITICALPrivilege Escalation via Argument Injection in NetBackup Flex OS ShellEPSS 0.7%CVE-2026-113708CRITICALArgo CD: A Kustomize remote ref can run commands in the repo-serverEPSS 0.7%CVE-2026-48793HIGHJellyfin: Potential FFmpeg argument injection via unescaped subtitle file pathEPSS 0.7%