Falhas do tipo CWE-93

256 resultados

Divulgação de informações

A aplicação expõe dados sensíveis (senhas, tokens, dados pessoais, configurações internas) a usuários ou processos que não deveriam ter acesso. Isso acontece por falta de controle de acesso, logging inadequado, tratamento inseguro de erros ou armazenamento desprotegido. O risco é que um atacante obtém informações suficientes para escalar ataques, falsificar identidades ou comprometer outros sistemas.

Exemplo

Um serviço web retorna a senha do banco de dados em uma mensagem de erro quando a conexão falha; ou uma API expõe IDs internos de usuários em respostas públicas; ou logs de aplicação contêm chaves de API e são armazenados sem proteção de permissões.

Como mitigar

Implemente controle de acesso granular em dados sensíveis, sanitize mensagens de erro para nunca expor detalhes técnicos ao usuário final, criptografe dados em repouso e em trânsito, restrinja permissões de leitura em logs e arquivos de configuração, e faça code review focado em pontos de exposição de dados.

CVE-2026-49214MEDIUMguzzlehttp/psr7 has CRLF Injection via URI Host ComponentEPSS 0.2%CVE-2026-84962MEDIUMAuthenticated KMS request forgery via CRLF injection in GCP key identifier stringsEPSS 0.2%CVE-2026-47242MEDIUMNet::IMAP: Command Injection via ID command argumentEPSS 0.2%CVE-2026-55467LOWCUPS fax option values bypass the CVE-2026-34980 control-character sanitizer (incomplete fix)EPSS 0.2%CVE-2026-61815HIGHzbateson/mail-mime-parser has CRLF header injection via attachment filenameEPSS 0.2%CVE-2026-48861LOWCRLF injection in HTTP/1 request line via unvalidated method in MintEPSS 0.2%CVE-2026-59919MEDIUMNetty: HAProxy V1 Protocol CRLF Injection via AF_UNIX AddressEPSS 0.2%CVE-2026-61477LOWLibvirt: libvirt: newline injection in network xml dns txt/srv fields allows dnsmasq config directive injectionEPSS 0.2%CVE-2026-91831LOWSubscribe to Comments 2.3 - 2.3.2 - Author+ Email Header Injection via From Name SettingEPSS 0.2%CVE-2026-43969LOWCookie Request Header Injection via Unvalidated Encoder in cow_cookie:cookie/1EPSS 0.1%CVE-2026-102938MEDIUMvirtualenv writes prompt values into pyvenv.cfg without sanitizing line boundaries, allowing configuration injectionEPSS 0.1%CVE-2026-118372MEDIUMLibreSSL ocspcheck through 4.4.0 CRLF Injection via AIA OCSP URL PathEPSS 0.1%CVE-2026-118371MEDIUMLibreSSL through 4.4.0 CRLF Injection via OCSP_sendreq_new() Request LineEPSS 0.1%CVE-2026-102136MEDIUMKiteworks Core Command Execution through Configuration InjectionEPSS 0.1%CVE-2026-109683MEDIUMUPnP Newline Injection Vulnerability in TP-Link Archer BE805EPSS —CVE-2026-123298MEDIUMIn JetBrains Hub before 2026.2.52556 sMTP command injection via email verification was possibleEPSS —