Fallos del tipo CWE-419

12 resultados

Canal primário desprotegido

É quando a aplicação transmite dados sensíveis (credenciais, tokens, dados pessoais) por um canal de comunicação sem criptografia ou autenticação adequada. O atacante consegue interceptar, ler ou modificar essas informações em trânsito, comprometendo a confidencialidade e integridade dos dados.

Ejemplo

Um sistema de login que envia usuário e senha via HTTP simples (não HTTPS), ou uma API que retorna tokens de acesso sem validar se a conexão é realmente segura. Um invasor na mesma rede pode capturar essas credenciais com ferramentas como Wireshark.

Cómo mitigar

Force sempre HTTPS/TLS para qualquer canal que trafegue dados sensíveis, valide certificados SSL, implemente pinning de certificados em clientes mobile, e nunca transmita credenciais ou tokens em plaintext. Além disso, garanta que o canal secundário (se houver) também esteja igualmente protegido.

CVE-2019-11248MEDIUMKubernetes kubelet exposes /debug/pprof info on healthz portEPSS 75.1%CVE-2018-12120—Node.js: All versions prior to Node.js 6.15.0: Debugger port 5858 listens on any interface by default: When the debugger is enabled with `noEPSS 4.3%CVE-2023-30859HIGHSpigot Command Exploit in TritonEPSS 1.1%CVE-2022-33932MEDIUMDell PowerScale OneFS, versions 9.0.0 up to and including 9.1.0.19, 9.2.1.12, 9.3.0.6, and 9.4.0.2, contain an unprotected primary channel vEPSS 0.7%CVE-2024-50588CRITICALUnprotected Exposed Firebird Database with default credentialsEPSS 0.7%CVE-2018-12539—In Eclipse OpenJ9 version 0.8, users other than the process owner may be able to use Java Attach API to connect to an Eclipse OpenJ9 or IBM EPSS 0.5%CVE-2024-3051HIGHZ/IP Gateway Device Reset Locally Denial of Service VulnerabilityEPSS 0.5%CVE-2025-24030HIGHEnvoy Admin Interface Exposed through prometheus metrics endpointEPSS 0.4%CVE-2025-31964LOWHCL BigFix IVR is impacted by an improper service binding configurationEPSS 0.3%CVE-2024-2414HIGHUnprotected Primary Channel vulnerability in Movistar 4G routerEPSS 0.3%CVE-2024-39886LOWTONE store App version 3.4.2 and earlier contains an issue with unprotected primary channel. Since TONE store App communicates with TONE stoEPSS 0.3%CVE-2023-6533MEDIUMSilicon Labs PC Controller Denial of Service VulnerabilityEPSS 0.3%