Falhas do tipo CWE-177

12 resultados

Tratamento impróprio de codificação URL (hex)

Ocorre quando a aplicação não valida ou decodifica corretamente URLs com caracteres codificados em hex (como %2F para barra). Um atacante pode contornar filtros de segurança, injetar caracteres maliciosos ou acessar caminhos não autorizados ao explorar inconsistências entre como a aplicação e o servidor interpretam a codificação hex.

Exemplo

Um filtro de caminho bloqueia requisições para '/admin', mas não detecta '/%61dmin' (onde %61 é 'a' em hex). O servidor decodifica automaticamente e fornece acesso ao painel administrativo que deveria estar bloqueado.

Como mitigar

Decodifique e normalize todas as URLs uma única vez no início do processamento, antes de qualquer validação. Implemente listas de permissão rigorosas para caminhos e recursos permitidos, testando sempre com variações de codificação (hex, double-encoding, etc.).

CVE-2022-27780MEDIUMThe curl URL parser wrongly accepts percent-encoded URL separators like '/'when decoding the host name part of a URL, making it a *differentEPSS 2.3%CVE-2018-3718—serve node module suffers from Improper Handling of URL Encoding by permitting access to ignored files if a filename is URL encoded.EPSS 1.3%CVE-2022-3854MEDIUMA flaw was found in Ceph, relating to the URL processing on RGW backends. An attacker can exploit the URL processing by providing a null URLEPSS 0.6%CVE-2026-41041CRITICALApache Gravitino: URL path injection via unencoded user-supplied identifiers in MCP REST client f-string URL construction, enabling path traversal to unintended API endpoints.EPSS 0.5%CVE-2026-22031HIGHFastify Middie Middleware Path BypassEPSS 0.5%CVE-2026-29045HIGHHono: Arbitrary file access via serveStatic vulnerabilityEPSS 0.4%CVE-2024-48866LOWQTS, QuTS heroEPSS 0.4%CVE-2024-23983MEDIUMAccess rules for PingAccess may be circumvented with URL-encoded charactersEPSS 0.4%CVE-2026-6414MEDIUM@fastify/static vulnerable to route guard bypass via encoded path separatorsEPSS 0.4%CVE-2026-59083CRITICALApache Tomcat: Incorrect URL decoding in RewriteValve may allow security control bypassEPSS 0.4%CVE-2026-22037HIGH@fastify/express vulnerable to Improper Handling of URL Encoding (Hex Encoding)EPSS 0.3%CVE-2025-11990LOWImproper Handling of URL Encoding (Hex Encoding) in GitLabEPSS 0.3%