Weaknesses of type CWE-177

12 results

Manipulação incorreta de codificação URL (hex)

Ocorre quando a aplicação não trata adequadamente caracteres codificados em hexadecimal na URL (como %2F para /) ou falha em normalizar diferentes formas de codificação antes de validar ou processar a entrada. Um atacante pode contornar filtros de segurança usando codificações alternativas do mesmo caractere.

Example

Um WAF bloqueia requisições com '../' para prevenir path traversal, mas aceita '%2e%2e%2f' (versão hex-codificada). O backend decodifica isso automaticamente e permite acesso a arquivos fora do diretório esperado.

How to mitigate

Decodifique completamente e normalize todas as URLs/entradas antes de qualquer validação, não depois. Use listas de permissão para caracteres válidos e trate múltiplas camadas de codificação (decodificar em loop até não haver mais mudanças).

CVE-2022-27780MEDIUMThe curl URL parser wrongly accepts percent-encoded URL separators like '/'when decoding the host name part of a URL, making it a *differentEPSS 2.3%CVE-2018-3718—serve node module suffers from Improper Handling of URL Encoding by permitting access to ignored files if a filename is URL encoded.EPSS 1.3%CVE-2022-3854MEDIUMA flaw was found in Ceph, relating to the URL processing on RGW backends. An attacker can exploit the URL processing by providing a null URLEPSS 0.6%CVE-2026-41041CRITICALApache Gravitino: URL path injection via unencoded user-supplied identifiers in MCP REST client f-string URL construction, enabling path traversal to unintended API endpoints.EPSS 0.5%CVE-2026-22031HIGHFastify Middie Middleware Path BypassEPSS 0.5%CVE-2026-29045HIGHHono: Arbitrary file access via serveStatic vulnerabilityEPSS 0.4%CVE-2024-48866LOWQTS, QuTS heroEPSS 0.4%CVE-2024-23983MEDIUMAccess rules for PingAccess may be circumvented with URL-encoded charactersEPSS 0.4%CVE-2026-6414MEDIUM@fastify/static vulnerable to route guard bypass via encoded path separatorsEPSS 0.4%CVE-2026-59083CRITICALApache Tomcat: Incorrect URL decoding in RewriteValve may allow security control bypassEPSS 0.4%CVE-2026-22037HIGH@fastify/express vulnerable to Improper Handling of URL Encoding (Hex Encoding)EPSS 0.3%CVE-2025-11990LOWImproper Handling of URL Encoding (Hex Encoding) in GitLabEPSS 0.3%