Weaknesses of type CWE-437

4 results

Modelo incompleto de funcionalidades do endpoint

O desenvolvedor implementa validações, filtros ou controles de segurança que não cobrem todas as funcionalidades reais de um endpoint ou API. Um atacante descobre e explora rotas, parâmetros ou métodos HTTP que existem no sistema mas foram ignorados na modelagem de segurança, contornando proteções.

Example

Uma API REST protege a rota POST /api/usuarios com autenticação forte, mas o desenvolvedor esqueceu de proteger PUT /api/usuarios ou DELETE /api/usuarios. Um atacante autentica em uma conta básica e modifica/deleta outros usuários explorandos métodos não validados.

How to mitigate

Mapeie explicitamente todos os endpoints, métodos HTTP e parâmetros suportados antes de implementar segurança. Use testes de autorização abrangentes (testar DELETE, PUT, PATCH, não só GET) e mantenha a documentação da API sincronizada com o código. Considere negar tudo por padrão e liberar apenas o necessário.

CVE-2024-55629HIGHSuricata generic detection bypass using TCP urgent supportEPSS 0.5%CVE-2024-57176HIGHAn issue in the shiroFilter function of White-Jotter project v0.2.2 allows attackers to execute a directory traversal and access sensitive eEPSS 0.5%CVE-2016-8365—OSIsoft PI System software (Applications using PI Asset Framework (AF) Client versions prior to PI AF Client 2016, Version 2.8.0; ApplicatioEPSS 0.4%CVE-2023-20084MEDIUMA vulnerability in the endpoint software of Cisco Secure Endpoint for Windows could allow an authenticated, local attacker to evade endpointEPSS 0.2%