Falhas do tipo CWE-99

73 resultados

Injeção de Recurso

Ocorre quando a aplicação constrói um caminho, URL, nome de arquivo ou identificador de recurso usando entrada do usuário sem validação adequada. Um atacante pode manipular esse input para acessar, modificar ou executar recursos não autorizados no sistema.

Exemplo

Um sistema permite que o usuário escolha qual arquivo de configuração carregar passando o nome como parâmetro: `config = load_file("/etc/app/" + user_input + ".conf")`. Um atacante passa `../../../../../../etc/passwd` e consegue ler o arquivo de senhas do sistema.

Como mitigar

Implemente validação rigorosa do input (whitelist de valores permitidos, rejeitar caracteres perigosos como `..` e `/`), use APIs que não concatenem caminhos manualmente (ex: `os.path.join()` em Python) e aplique o princípio de menor privilégio — o processo deve rodar com permissões mínimas para acessar apenas os recursos necessários.

CVE-2026-100884MEDIUMKrayin laravel-crm attachment-download Endpoint acl.php resource injectionEPSS 0.3%CVE-2025-43491HIGHPoly Lens Desktop Application – Privilege EscalationEPSS 0.3%CVE-2026-10299MEDIUMcode-projects Online Hospital Management System viewdoctortimings.php resource injectionEPSS 0.3%CVE-2026-81524MEDIUMCross-tenant database retargeting via dot/NUL injection in namespace strings in the C DriverEPSS 0.3%CVE-2026-10168MEDIUMOUSL-GROUP-BrinaryBrains School Student Management System Parents.php marks resource injectionEPSS 0.2%CVE-2026-10624MEDIUMSourceCodester Human Resource Management Employee View detailview.php resource injectionEPSS 0.2%CVE-2026-105444MEDIUMdotnet eShop Ordering API OrdersApi.cs GetOrderAsync resource injectionEPSS 0.2%CVE-2026-81521HIGHCross-database write retargeting via unvalidated dotted database name in Client.BulkWrite in the MongoDB Go DriverEPSS 0.2%CVE-2026-5031MEDIUMBichitroGan ISP Billing Software Endpoint users-view resource injectionEPSS 0.2%CVE-2026-12207MEDIUMmedkey-org medkey HTTP REST API PatientController.php actionGetPatientById resource injectionEPSS 0.2%CVE-2026-33603MEDIUMAttacker can use a specially crafted base64 exchange between Dovecot and Client to fake SCRAM TLS channel binding. This requires that the atEPSS 0.2%CVE-2026-107448LOWMagic: The Gathering Arena (Windows/Steam client; 2026.59.30.12801.127931.6 and certain later 2026.60.x builds) passes a server-supplied URLEPSS 0.2%CVE-2026-106583LOWIn ssh in OpenSSH before 10.6, a $ or \ character can occur in a command-line username, leading to injection.EPSS 0.2%