Falhas do tipo CWE-475

15 resultados

Comportamento indefinido por entrada inválida em API

Ocorre quando uma API não valida ou não documenta o comportamento esperado para entradas fora do escopo especificado, deixando a implementação com liberdade para fazer qualquer coisa — desde crashes até corrupção de memória. O risco é que atacantes exploram essa indefinição para causar falhas ou desvios de segurança imprevisto.

Exemplo

Uma função C que processa um buffer recebe um ponteiro NULL sem verificar, ou um índice negativo em um array sem validação. O compilador ou runtime não garante o que acontece; pode ser segmentation fault, leitura de memória aleatória, ou bypass de controles de segurança.

Como mitigar

Documente explicitamente o contrato da API (tipos, ranges, pré-condições aceitáveis). Valide toda entrada no limite da API — rejeite ou trate valores inválidos de forma determinística. Use type systems e linters para detectar chamadas inválidas em tempo de compilação.

CVE-2020-7925HIGHDenial of Service when processing malformed Role namesEPSS 1.7%CVE-2025-47865HIGHA Local File Inclusion vulnerability in a Trend Micro Apex Central widget below version 8.0.6955 could allow an attacker to gain remote codeEPSS 1.6%CVE-2026-42009HIGHGnutls: gnutls: denial of service via dtls packet reordering vulnerabilityEPSS 1.3%CVE-2024-20380HIGHClamAV HTML Parser Denial of Service VulnerabilityEPSS 1.1%CVE-2023-2253MEDIUMA flaw was found in the `/v2/_catalog` endpoint in distribution/distribution, which accepts a parameter to control the maximum number of recEPSS 0.9%CVE-2023-4874MEDIUMUndefined Behavior for Input to API in MuttEPSS 0.7%CVE-2024-10569HIGHZip Bomb Vulnerability in gradio-app/gradioEPSS 0.6%CVE-2023-4875LOWUndefined Behavior for Input to API in MuttEPSS 0.5%CVE-2024-3099MEDIUMDenial of Service and Data Model Poisoning via URL Encoding in mlflow/mlflowEPSS 0.4%CVE-2023-52533MEDIUMIn modem-ps-nas-ngmm, there is a possible undefined behavior due to incorrect error handling. This could lead to remote information disclosuEPSS 0.4%CVE-2022-29207MEDIUMUndefined behavior when users supply invalid resource handles in TensorFlowEPSS 0.3%CVE-2026-8391MEDIUMOther issue in the JavaScript Engine componentEPSS 0.3%CVE-2026-34379HIGHOpenEXR has a misaligned write in LossyDctDecoder_execute leading to undefined behavior (DWA/DWAB decompression)EPSS 0.3%CVE-2025-47866MEDIUMAn unrestricted file upload vulnerability in a Trend Micro Apex Central widget below version 8.0.6955 could allow an attacker to upload arbiEPSS 0.2%CVE-2026-21690MEDIUMiccDEV has Type Confusion in CIccTagXmlTagData::ToXml()EPSS 0.2%