Falhas do tipo CWE-941

10 resultados

Destinatário incorretamente especificado em canal de comunicação

O aplicativo envia dados sensíveis para um destinatário errado porque a especificação do alvo (URL, endereço IP, identificador de processo, etc.) está incorreta ou não validada. Mensagens confidenciais podem chegar a quem não deveria recebê-las, comprometendo confidencialidade e integridade.

Exemplo

Um serviço de notificação envia SMS de confirmação para o número de telefone armazenado em um campo não sanitizado do banco de dados; se esse campo for manipulado ou contiver lixo, a mensagem vai para o número errado. Outro cenário: um microsserviço publica mensagens em uma fila (RabbitMQ, Kafka) com o nome do tópico obtido de uma variável de ambiente não verificada, enviando dados para filas não intencionais.

Como mitigar

Valide e faça whitelist de destinatários permitidos antes de enviar qualquer comunicação. Use constantes ou configurações de ambiente bem documentadas para endereços, nunca dados de entrada do usuário. Implemente logs detalhados de todos os envios (quem, para onde, quando) e testes automatizados que verificam se mensagens chegam ao destino correto.

CVE-2024-29415HIGHThe ip package through 2.0.1 for Node.js might allow SSRF because some IP addresses (such as 127.1, 01200034567, 012.1.2.3, 000:0:0000::01, EPSS 8.3%CVE-2019-18242—In Moxa ioLogik 2500 series firmware, Version 3.0 or lower, and IOxpress configuration utility, Version 2.3.0 or lower, frequent and multiplEPSS 1.6%CVE-2025-53899HIGHKiteworks MFT is vulnerable to an Incorrectly Specified Destination in a Communication ChannelEPSS 0.9%CVE-2022-4847HIGHIncorrectly Specified Destination in a Communication Channel in usememos/memosEPSS 0.6%CVE-2023-33198MEDIUMIncorrectly Specified Chat Message Destinations in tgstation-server and DreamMaker APIEPSS 0.6%CVE-2025-69515CRITICALAn issue in JXL 9 Inch Car Android Double Din Player Android v12.0 allows attackers to force the infotainment system into accepting falsifieEPSS 0.5%CVE-2024-34947CRITICALQuanxun Huiju Network Technology (Beijing) Co.,Ltd IK-Q3000 3.7.10 x64 Build202401261655 was discovered to be vulnerable to an ICMP redirectEPSS 0.4%CVE-2026-69246HIGHGuzzle: Noncanonical host can bypass host-based checksEPSS 0.2%CVE-2026-40118MEDIUMUDP Console provided by Arcserve contains an incorrectly specified destination in a communication channel vulnerability. When a user configuEPSS 0.2%CVE-2025-0036LOWIn AMD Versal Adaptive SoC devices, the incorrect configuration of the SSS during runtime (post-boot) cryptographic operations could cause dEPSS 0.1%