Falhas do tipo CWE-939

28 resultados

Autorização inadequada em manipulador de esquema URL customizado

Aplicações registram esquemas de URL customizados (como 'meuapp://') sem validar adequadamente quem pode acioná-los. Isso permite que outras apps ou sites abram URLs especiais e executem ações sensíveis (transferências, exclusões, mudanças de configuração) sem a devida autenticação ou autorização do usuário.

Exemplo

Um app bancário registra 'meubank://transferir?destino=123&valor=1000' sem verificar se a requisição vem de uma fonte confiável. Um site malicioso ou app concorrente injeta essa URL, causando uma transferência sem consentimento do usuário.

Como mitigar

Implemente validação rigorosa: (1) autentique o chamador (verifique origem/assinatura), (2) valide cada parâmetro da URL, (3) exija confirmação explícita do usuário para ações sensíveis, (4) use intent filters restritos no Android ou schemes assinados no iOS.

CVE-2026-3471MEDIUMOpening a window with {{javascript:alert()}} as URL causes crash in the Mattermost Desktop AppEPSS 0.2%CVE-2025-67739LOWIn JetBrains TeamCity before 2025.11.2 improper repository URL validation could lead to local paths disclosureEPSS 0.2%CVE-2024-54125LOWImproper authorization in handler for custom URL scheme issue in "Shonen Jump+" App for Android versions prior to 4.0.0 allows an attacker tEPSS 0.2%CVE-2026-73335MEDIUMAndroid application "Myna Point" is vulnerable to Improper Authorization in Handler for Custom URL Scheme (CWE-939). A malicious applicationEPSS 0.1%CVE-2026-12065LOWGroww Stock, Mutual Fund, Gold App WebView URL improper authorization in handler for custom url schemeEPSS 0.1%CVE-2026-12190MEDIUMGenspark AI Workspace App ai.mainfunc.genspark improper authorization in handler for custom url schemeEPSS 0.1%CVE-2026-12189MEDIUMMoovit Bus & Public Transit App com.tranzmate improper authorization in handler for custom url schemeEPSS 0.1%CVE-2026-21062MEDIUMAuthorization bypass in SemClipboardService prior to SMR Aug-2026 Release 1 allows local attackers to access clipboard data.EPSS 0.1%