Falhas do tipo CWE-231

5 resultados

Tratamento inadequado de valores adicionais

A aplicação recebe mais dados do que espera (valores, parâmetros ou campos extras) mas não valida ou descarta corretamente o excedente. Isso abre brecha para bypass de validações, injeção de dados maliciosos ou comportamento imprevisto, porque o código assume um contrato de entrada que não é respeitado.

Exemplo

Um formulário de cadastro espera 3 campos (nome, email, senha), mas um atacante envia 4 campos incluindo um campo administrativo oculto. Se a aplicação não verifica quais campos são permitidos e simplesmente processa tudo, pode aceitar ou processar aquele campo extra, contornando controles de segurança.

Como mitigar

Implemente whitelist explícita de campos/parâmetros esperados e rejeite ou ignore silenciosamente qualquer coisa fora dessa lista. Valide rigorosamente o esquema de entrada (formato, tipo, quantidade) antes de processar, e documente quais valores são aceitos em cada ponto de entrada.

CVE-2023-6841HIGHKeycloak: amount of attributes per object is not limited and it may lead to dosEPSS 0.7%CVE-2024-20268HIGHCisco Adaptive Security Appliance Software and Firepower Threat Defense Software SNMP Denial of Service VulnerabilityEPSS 0.6%CVE-2023-44386MEDIUMIncorrect request error handling triggers server crash in VaporEPSS 0.6%CVE-2024-31397MEDIUMImproper handling of extra values issue exists in Cybozu Garoon 5.0.0 to 5.15.2. If this vulnerability is exploited, a user who can log in tEPSS 0.5%CVE-2026-22888MEDIUMImproper input verification issue exists in Cybozu Garoon 5.0.0 to 6.0.3, which may lead to unauthorized alteration of portal settings, poteEPSS 0.4%