Falhas do tipo CWE-942

133 resultados

Política de segurança cross-domain permissiva com domínios não confiáveis

Ocorre quando uma aplicação web configura mecanismos de controle de acesso cross-domain (CORS, postMessage, etc.) de forma muito aberta, permitindo que domínios não confiáveis ou controlados por atacantes acessem recursos sensíveis. Isso quebra o isolamento entre origens e expõe dados ou funcionalidades que deveriam ser protegidas.

Exemplo

Um servidor configurando Access-Control-Allow-Origin: * em endpoints que retornam dados de usuário, ou aceitando comunicação postMessage de qualquer origem sem validar o remetente. Um site malicioso pode então executar JavaScript que rouba tokens, credenciais ou informações privadas do usuário.

Como mitigar

Especifique explicitamente os domínios permitidos em CORS (nunca use wildcard em produção com dados sensíveis). Valide a origem nas requisições cross-domain e implemente verificações de token/sessão robustas. Para postMessage, sempre validate event.origin antes de processar a mensagem.

CVE-2026-22812HIGHOpenCode's Unauthenticated HTTP Server Allows Arbitrary Command ExecutionEPSS 16.8%CVE-2026-59726CRITICALRuflo: Unauthenticated RCE in MCP bridge default docker-compose deploymentEPSS 16.4%CVE-2023-38122HIGHInductive Automation Ignition OPC UA Quick Client Permissive Cross-domain Policy Remote Code Execution VulnerabilityEPSS 1.9%CVE-2026-61736CRITICALLightRAG: CORS Wildcard + Credentials Enables Any-Origin Credentialed RequestsEPSS 1.4%CVE-2023-38125HIGHSofting edgeAggregator Permissive Cross-domain Policy with Untrusted Domains Remote Code Execution VulnerabilityEPSS 1.3%CVE-2026-54753MEDIUMNx: `nx graph` dev server permissive CORS policyEPSS 1.2%CVE-2019-14860HIGHIt was found that the Syndesis configuration for Cross-Origin Resource Sharing was set to allow all origins. An attacker could use this lackEPSS 1.2%CVE-2022-31736CRITICALA malicious website could have learned the size of a cross-origin resource that supported Range requests. This vulnerability affects ThunderEPSS 1.1%CVE-2026-84452HIGHWindows ML CLI: CORS misconfig enables localhost RCEEPSS 0.9%CVE-2023-46281HIGHA vulnerability has been identified in Opcenter Execution Foundation (All versions < V2407), Opcenter Quality (All versions < V2312), SIMATIEPSS 0.9%CVE-2022-26969CRITICALIn Directus before 9.7.0, the default settings of CORS_ORIGIN and CORS_ENABLED are true.EPSS 0.9%CVE-2024-21382MEDIUMMicrosoft Edge for Android Information Disclosure VulnerabilityEPSS 0.9%CVE-2020-36851CRITICALRob--W cors-anywhere Misconfigured CORS Proxy Allows SSRFEPSS 0.8%CVE-2024-41657HIGHGHSL-2024-035: Casdoor CORS misconfigurationEPSS 0.8%CVE-2026-56076HIGHPraisonAI - Cross-Origin Agent Execution via Hardcoded Wildcard CORS and Missing Authentication on AGUI EndpointEPSS 0.7%CVE-2022-47717HIGHLast Yard 22.09.8-1 is vulnerable to Cross-origin resource sharing (CORS).EPSS 0.7%CVE-2026-62895HIGHAzure Arc SQL Server Extension Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2023-36829MEDIUMSentry CORS misconfiguration vulnerabilityEPSS 0.7%CVE-2024-25124CRITICALFiber has Insecure CORS Configuration, Allowing Wildcard Origin with CredentialsEPSS 0.7%CVE-2024-41659HIGHGHSL-2024-034: memos CORS Misconfiguration in server.goEPSS 0.6%