Fallos del tipo CWE-99

56 resultados

Injeção de Recurso

Ocorre quando uma aplicação constrói caminhos de arquivo, URLs, nomes de banco de dados ou outros identificadores de recurso usando entrada do usuário sem validação adequada. Um atacante consegue manipular esses identificadores para acessar recursos não autorizados ou executar operações em recursos inesperados.

Ejemplo

Um sistema web que carrega imagens do servidor assim: `arquivo = usuario_input + '.png'` e depois lê o arquivo. Um atacante envia `../../etc/passwd` como entrada e consegue ler arquivos sensíveis do servidor, ou envia `http://outro-servidor.com/malware.png` para injetar uma URL maliciosa.

Cómo mitigar

Implemente validação rigorosa de entrada (whitelist de valores permitidos, bloqueio de caracteres perigosos como `.`, `/`, `://`), use mapeamento indireto (referências numéricas em vez de nomes fornecidos pelo usuário) e aplique princípio do menor privilégio para o acesso a recursos. Considere usar bibliotecas padrão da linguagem que sanitizam automaticamente.

CVE-2020-6245MEDIUMSAP Business Objects Business Intelligence Platform, version 4.2, allows an attacker with access to local instance, to inject file or code tEPSS 0.3%CVE-2024-0231LOWImproper Control of Resource Identifiers ('Resource Injection') in GitLabEPSS 0.3%CVE-2026-9438MEDIUMyashpokharna2555 StudentManagementSystem courseDel.php resource injectionEPSS 0.3%CVE-2025-2125MEDIUMControl iD RH iD PDF Document companyId resource injectionEPSS 0.3%CVE-2026-5414MEDIUMNewgen OmniDocs WebApiRequestRedirection resource injectionEPSS 0.3%CVE-2025-9263MEDIUMXuxueli xxl-job JobLogController.java getJobsByGroup resource injectionEPSS 0.3%CVE-2023-6605HIGHFfmpeg: dash playlist ssrf vulnerability in ffmpegEPSS 0.3%CVE-2026-10299MEDIUMcode-projects Online Hospital Management System viewdoctortimings.php resource injectionEPSS 0.3%CVE-2025-43491HIGHPoly Lens Desktop Application – Privilege EscalationEPSS 0.3%CVE-2026-10168MEDIUMOUSL-GROUP-BrinaryBrains School Student Management System Parents.php marks resource injectionEPSS 0.2%CVE-2026-10624MEDIUMSourceCodester Human Resource Management Employee View detailview.php resource injectionEPSS 0.2%CVE-2026-15186MEDIUMmacrozheng mall Portal Endpoint create resource injectionEPSS 0.2%CVE-2026-13493LOWAIDC-AI ComfyUI-Copilot Workflow Checkpoint Restore conversation_api.py resource injectionEPSS 0.2%CVE-2026-12207MEDIUMmedkey-org medkey HTTP REST API PatientController.php actionGetPatientById resource injectionEPSS 0.2%CVE-2026-5031MEDIUMBichitroGan ISP Billing Software Endpoint users-view resource injectionEPSS 0.2%CVE-2026-33603MEDIUMAttacker can use a specially crafted base64 exchange between Dovecot and Client to fake SCRAM TLS channel binding. This requires that the atEPSS 0.2%