Weaknesses of type CWE-656

11 results

Dependência de Obscuridade para Segurança

É a prática de contar com sigilo da implementação (em vez de controles de segurança reais) para proteger dados ou funcionalidades sensíveis. Quando a obscuridade é descoberta — e sempre é — o sistema fica completamente vulnerável, porque não há defesa técnica de verdade por trás.

Example

Um aplicativo esconde um token de API em código ofuscado ou em um endpoint não documentado, achando que ninguém vai descobrir. Se alguém descompila o APK, faz engenharia reversa do JavaScript ou simplesmente sniffa a rede, pega o token e tem acesso irrestrito — porque não há validação real, rate limiting ou autorização adequada.

How to mitigate

Implemente controles de segurança técnicos reais: autenticação forte, autorização por papel, validação de entrada, rate limiting, criptografia de dados sensíveis. Nunca conte com sigilo de código ou algoritmos proprietários como camada de defesa; use sempre padrões estabelecidos e públicos.

CVE-2020-10284CRITICALRVD#3321: No Authentication required to exert manual control of the robotEPSS 1.4%CVE-2024-9138HIGHPrivilege Escalation in Cellular Router, Secure Router, and Network Security AppliancesEPSS 1.1%CVE-2024-12297CRITICALFrontend Authorization Logic Disclosure VulnerabilityEPSS 0.8%CVE-2020-10286CRITICALRVD#3323: Mismanaged permission implementation leads to privilege escalation, exfiltration of sensitive information, and DoSEPSS 0.7%CVE-2020-10277MEDIUMRVD#2562: Booting from a live image leads to exfiltration of sensible information and privilege escalationEPSS 0.4%CVE-2024-5244MEDIUMTP-Link Omada ER605 Reliance on Security Through Obscurity VulnerabilityEPSS 0.3%CVE-2025-25983LOWAn issue in Macro-video Technologies Co.,Ltd V380 Pro android application 2.1.44 and V380 Pro android application 2.1.64 allows an attacker EPSS 0.3%CVE-2026-7161CRITICALGeoVision GV-IP Device Utility Device Authentication insufficient encryption vulnerabilityEPSS 0.2%CVE-2025-59093HIGHInsecure Password Derivation Function for Database Administrator in dormakaba Kaba exos 9300EPSS 0.2%CVE-2026-42363CRITICALGeoVision GV-IP Device Utility Device Authentication insufficient encryption vulnerabilityEPSS 0.2%CVE-2025-7020MEDIUMBYD DiLink OS Incorrect encryption Implementation of system log dumpsEPSS 0.1%