Falhas do tipo CWE-93

208 resultados

Divulgação de informações

A aplicação expõe dados sensíveis (senhas, tokens, dados pessoais, configurações internas) a usuários ou processos que não deveriam ter acesso. Isso acontece por falta de controle de acesso, logging inadequado, tratamento inseguro de erros ou armazenamento desprotegido. O risco é que um atacante obtém informações suficientes para escalar ataques, falsificar identidades ou comprometer outros sistemas.

Exemplo

Um serviço web retorna a senha do banco de dados em uma mensagem de erro quando a conexão falha; ou uma API expõe IDs internos de usuários em respostas públicas; ou logs de aplicação contêm chaves de API e são armazenados sem proteção de permissões.

Como mitigar

Implemente controle de acesso granular em dados sensíveis, sanitize mensagens de erro para nunca expor detalhes técnicos ao usuário final, criptografe dados em repouso e em trânsito, restrinja permissões de leitura em logs e arquivos de configuração, e faça code review focado em pontos de exposição de dados.

CVE-2026-19862MEDIUMJetFormBuilder < 3.6.5.2 - Unauthenticated Email Header Injection via Send Email ActionEPSS 0.2%CVE-2026-86813MEDIUMMetForm < 4.1.9 - Unauthenticated Email Header Injection via Notification Reply-ToEPSS 0.2%CVE-2026-43969LOWCookie Request Header Injection via Unvalidated Encoder in cow_cookie:cookie/1EPSS 0.1%CVE-2026-65636LOWYAML injection via unescaped newlines in ymlr document commentsEPSS 0.1%CVE-2026-59919MEDIUMNetty: HAProxy V1 Protocol CRLF Injection via AF_UNIX AddressEPSS 0.1%CVE-2026-47242MEDIUMNet::IMAP: Command Injection via ID command argumentEPSS 0.1%CVE-2026-84962MEDIUMAuthenticated KMS request forgery via CRLF injection in GCP key identifier stringsEPSS 0.1%CVE-2026-61815HIGHzbateson/mail-mime-parser has CRLF header injection via attachment filenameEPSS —