Fallos del tipo CWE-1241

9 resultados

Uso de Algoritmo Previsível em Gerador de Números Aleatórios

Ocorre quando o desenvolvedor usa um gerador de números 'aleatórios' que na verdade segue um padrão matemático previsível (como `Math.random()` ou `rand()`). Isso compromete qualquer mecanismo de segurança que dependa de aleatoriedade real, permitindo que um atacante preveja ou reproduza os valores gerados.

Ejemplo

Um sistema de autenticação que gera tokens de sessão usando `Math.random()` em JavaScript. Um atacante pode prever o próximo token observando alguns anteriores e hijackear a sessão de outro usuário sem conhecer a senha.

Cómo mitigar

Use geradores criptograficamente seguros: `crypto.getRandomValues()` em JavaScript, `secrets.token_urlsafe()` em Python, ou `SecureRandom` em Java. Evite absolutamente `Math.random()`, `rand()` ou `mt_rand()` para operações sensíveis de segurança.

CVE-2016-10180HIGHAn issue was discovered on the D-Link DWR-932B router. WPS PIN generation is based on srand(time(0)) seeding.EPSS 4.4%CVE-2021-3689HIGHUse of Predictable Algorithm in Random Number Generator in yiisoft/yii2EPSS 1.9%CVE-2021-3692HIGHUse of Predictable Algorithm in Random Number Generator in yiisoft/yii2EPSS 1.7%CVE-2026-26018HIGHCoreDNS Loop Detection Denial of Service VulnerabilityEPSS 1.1%CVE-2023-4695CRITICALUse of Predictable Algorithm in Random Number Generator in pkp/pkp-libEPSS 0.6%CVE-2025-13079MEDIUMPopup Builder - Create highly converting, mobile friendly marketing popups. <= 4.4.2 - Improper Authorization to Unauthenticated Subscriber Removal via Predictable TokensEPSS 0.4%CVE-2025-32056MEDIUMAnti-Theft Bypass for Infotainment ECUEPSS 0.3%CVE-2026-57869HIGHBroken object-level access controls and the use of a deterministic pattern during random ID generation in MicroRealEstate allows attackers tEPSS 0.2%CVE-2026-6420MEDIUMKeylime: keylime: security bypass due to hardcoded tpm quote nonceEPSS 0.1%