Fallos del tipo CWE-756

3 resultados

Ausência de página de erro customizada

A aplicação não implementa tratamento customizado para erros, expostos mensagens de erro padrão do servidor (stack traces, versões de software, caminhos internos). Isso vaza informações sensíveis sobre a arquitetura e tecnologias usadas, facilitando reconhecimento e exploração por atacantes.

Ejemplo

Uma aplicação PHP que não customiza erros 404/500 deixa exposta a mensagem padrão 'Fatal error in /var/www/html/database.php on line 42', revelando estrutura de diretórios e facilitando mapeamento da infraestrutura.

Cómo mitigar

Implemente páginas de erro genéricas e customizadas (404, 500, etc.) que não exponham detalhes técnicos. Configure o servidor para usar essas páginas e desabilite exibição de stack traces em produção via configuração (error_reporting, logging separado) ou frameworks (try-catch com logging privado).

CVE-2018-8913HIGHMissing custom error page vulnerability in Synology Web Station before 2.1.3-0139 allows remote attackers to conduct phishing attacks via a EPSS 1.1%CVE-2022-3175MEDIUMMissing Custom Error Page in ikus060/rdiffwebEPSS 0.7%CVE-2023-27998MEDIUMA lack of custom error pages vulnerability [CWE-756] in FortiPresence versions 1.2.0 through 1.2.1 and all versions of 1.1 and 1.0 may allowEPSS 0.4%