Falhas do tipo CWE-391

24 resultados

Condição de erro não verificada

Ocorre quando o código não valida o resultado de uma operação que pode falhar (como leitura de arquivo, alocação de memória ou chamada a API), assumindo que sempre funcionará. Se a operação falha silenciosamente, o programa continua com dados inválidos ou indefinidos, causando comportamento impredizível ou exploração de segurança.

Exemplo

Um aplicativo tenta conectar a um banco de dados remoto sem checar se a conexão foi bem-sucedida, depois tenta fazer queries no objeto de conexão nulo. A falha fica invisível até o crash ou um erro genérico aparecer.

Como mitigar

Sempre verifique o retorno de operações críticas (I/O, rede, alocação): compare contra valores de erro, use try-catch, ou padrões como Optional/Result. Registre erros em log e defina um comportamento seguro quando algo falhar (fail-safe).

CVE-2024-23326MEDIUMEnvoy incorrectly accepts HTTP 200 response for entering upgrade modeEPSS 0.4%CVE-2022-20849MEDIUMCisco IOS XR Software Broadband Network Gateway PPPoE Denial of Service VulnerabilityEPSS 0.3%CVE-2017-7496—fedora-arm-installer up to and including 1.99.16 is vulnerable to local privilege escalation due to lack of checking the error condition of EPSS 0.3%CVE-2023-32871MEDIUMIn DA, there is a possible permission bypass due to an incorrect status check. This could lead to local escalation of privilege with no addiEPSS 0.1%