Falhas do tipo CWE-921

9 resultados

Armazenamento de dados sensíveis sem controle de acesso

A aplicação guarda informações sensíveis (senhas, tokens, chaves de API, dados pessoais) em um local ou mecanismo que não impõe restrições de acesso — qualquer processo, usuário ou atacante com acesso ao sistema consegue ler esses dados. O risco é a exposição direta de segredos sem barreira técnica alguma.

Exemplo

Um aplicativo mobile salva o token de autenticação em preferences compartilhadas (SharedPreferences no Android) sem criptografia, ou uma aplicação web armazena senhas em variáveis de sessão em plain text acessíveis por logs ou debug. Qualquer malware ou análise forense do dispositivo/servidor recupera o dado imediatamente.

Como mitigar

Criptografe dados sensíveis antes de armazenar (use bibliotecas como libsodium, TINK ou suites nativas da plataforma). Implemente controle de acesso rigoroso no sistema de arquivos ou banco de dados. Nunca persista secrets em plain text — use vaults, keystores do SO ou gerenciadores de secrets (Vault, AWS Secrets Manager).

CVE-2023-2665HIGHStorage of Sensitive Data in a Mechanism without Access Control in francoisjacquet/rosariosisEPSS 0.6%CVE-2025-30016CRITICALAuthentication Bypass Vulnerability in SAP Financial ConsolidationEPSS 0.6%CVE-2023-41965HIGHSocomec MOD3GP-SY-120K Insecure Storage of Sensitive InformationEPSS 0.5%CVE-2024-9334HIGHInformation Disclosure in E-Kent's Pallium Vehicle TrackingEPSS 0.4%CVE-2021-27456LOWPhilips Gemini PET/CT Storage of Sensitive Data in a Mechanism Without Access ControlEPSS 0.2%CVE-2024-5206MEDIUMSensitive Data Leakage in sklearn.feature_extraction.text.TfidfVectorizer in scikit-learn/scikit-learnEPSS 0.2%CVE-2025-24870MEDIUMInsecure Key & Secret Management vulnerability in SAP GUI for WindowsEPSS 0.2%CVE-2025-24843MEDIUMDario Health USB-C Blood Glucose Monitoring System Starter Kit Android Application Storage of Sensitive Data in a Mechanism without Access ControlEPSS 0.1%CVE-2023-41818MEDIUM An improper use of the SD card for sensitive data vulnerability was reported in the Motorola Device Help application that could allow a locEPSS 0.1%