Fallos del tipo CWE-99

56 resultados

Injeção de Recurso

Ocorre quando uma aplicação constrói caminhos de arquivo, URLs, nomes de banco de dados ou outros identificadores de recurso usando entrada do usuário sem validação adequada. Um atacante consegue manipular esses identificadores para acessar recursos não autorizados ou executar operações em recursos inesperados.

Ejemplo

Um sistema web que carrega imagens do servidor assim: `arquivo = usuario_input + '.png'` e depois lê o arquivo. Um atacante envia `../../etc/passwd` como entrada e consegue ler arquivos sensíveis do servidor, ou envia `http://outro-servidor.com/malware.png` para injetar uma URL maliciosa.

Cómo mitigar

Implemente validação rigorosa de entrada (whitelist de valores permitidos, bloqueio de caracteres perigosos como `.`, `/`, `://`), use mapeamento indireto (referências numéricas em vez de nomes fornecidos pelo usuário) e aplique princípio do menor privilégio para o acesso a recursos. Considere usar bibliotecas padrão da linguagem que sanitizam automaticamente.

CVE-2024-7438MEDIUMSimpleMachines SMF User Alert Read Status index.php resource injectionEPSS 0.5%CVE-2025-0625LOWCampCodes School Management Software Attachment resource injectionEPSS 0.5%CVE-2025-12919MEDIUMEverShop Order Order.resolvers.js resource injectionEPSS 0.5%CVE-2023-6604MEDIUMFfmpeg: hls xbin demuxer dos amplification in ffmpegEPSS 0.4%CVE-2024-7437MEDIUMSimpleMachines SMF Delete User index.php resource injectionEPSS 0.4%CVE-2025-1575MEDIUMHarpia DiagSystem atualatendimento_jpeg.php resource injectionEPSS 0.4%CVE-2025-2410HIGHAdmin Authorized Port (iptables) manipulation (open/close/disable ports)EPSS 0.4%CVE-2025-3855MEDIUMCodeCanyon RISE Ultimate Project Manager Profile Picture save_profile_image resource injectionEPSS 0.4%CVE-2023-6602MEDIUMFfmpeg: improper handling of input format in tty demuxer of ffmpegEPSS 0.4%CVE-2025-1645MEDIUMBenner Connecta EditarLogado resource injectionEPSS 0.4%CVE-2026-7303MEDIUMXuxueli xxl-job Execution Log JobLogController.java logDetailCat resource injectionEPSS 0.4%CVE-2023-6601MEDIUMFfmpeg: hls unsafe file extension bypass in ffmpegEPSS 0.4%CVE-2026-3693MEDIUMShy2593666979 AgentChat User Endpoint user.py update_user_info resource injectionEPSS 0.4%CVE-2025-8793MEDIUMLitmusChaos Litmus resource injectionEPSS 0.4%CVE-2025-6534LOWxxyopen/201206030 novel-plus File FileController.java remove resource injectionEPSS 0.4%CVE-2025-9619MEDIUME4 Sistemas Mercatus ERP id resource injectionEPSS 0.4%CVE-2025-12270MEDIUMLearnHouse Student Assignment Submission sub_file resource injectionEPSS 0.4%CVE-2025-12918LOWyungifez Skuul School Management System View Fee Invoice fee-invoices resource injectionEPSS 0.4%CVE-2025-3405MEDIUMFCJ Venture Builder appclientefiel HTTP GET Request ObterPedido resource injectionEPSS 0.3%CVE-2025-9264MEDIUMXuxueli xxl-job Jobs JobInfoController.java remove resource injectionEPSS 0.3%