Fallos del tipo CWE-231

5 resultados

Tratamento inadequado de valores excedentes

Ocorre quando a aplicação não valida ou ignora dados extras fornecidos pelo usuário além do esperado, permitindo bypass de controles de segurança ou comportamento não previsto. O código assume um conjunto fixo de parâmetros e não trata o que vem além disso, criando brechas para manipulação.

Ejemplo

Uma API de login que processa apenas 'usuário' e 'senha', mas ignora um parâmetro 'admin=true' enviado junto. Se o backend não rejeita esse valor extra e de alguma forma o processa, um atacante consegue escalar privilégios passando dados não autorizados.

Cómo mitigar

Liste explicitamente os parâmetros aceitos e rejeite qualquer coisa fora dessa lista (whitelist). Valide tipos, tamanhos e formatos esperados; não simplesmente ignore o que não reconhece — lance erro ou descarte de forma segura.

CVE-2023-6841HIGHKeycloak: amount of attributes per object is not limited and it may lead to dosEPSS 0.7%CVE-2024-20268HIGHCisco Adaptive Security Appliance Software and Firepower Threat Defense Software SNMP Denial of Service VulnerabilityEPSS 0.6%CVE-2023-44386MEDIUMIncorrect request error handling triggers server crash in VaporEPSS 0.6%CVE-2024-31397MEDIUMImproper handling of extra values issue exists in Cybozu Garoon 5.0.0 to 5.15.2. If this vulnerability is exploited, a user who can log in tEPSS 0.5%CVE-2026-22888MEDIUMImproper input verification issue exists in Cybozu Garoon 5.0.0 to 6.0.3, which may lead to unauthorized alteration of portal settings, poteEPSS 0.4%