Falhas do tipo CWE-523

25 resultados

Transmissão de credenciais sem proteção

A aplicação envia credenciais (senhas, tokens, chaves) por um canal não criptografado ou sem autenticação adequada do servidor destino. Um atacante na rede consegue interceptar e roubar essas credenciais durante a transmissão, comprometendo contas de usuários ou sistemas.

Exemplo

Um app mobile faz login enviando usuário e senha via HTTP (não HTTPS), ou um serviço interno transmite tokens de API em texto plano pela rede. Qualquer pessoa com acesso à rede (WiFi pública, proxy comprometido) consegue capturar essas credenciais.

Como mitigar

Use HTTPS/TLS para toda transmissão de credenciais, valide certificados SSL do servidor, use tokens temporários em vez de senhas, e implemente pinning de certificado em clientes mobile. Evite armazenar credenciais em logs ou variáveis globais.

CVE-2026-54784HIGHCoreWCF: SPNEGO SecurityContextToken proof key wrapped without confidentialityEPSS 0.2%CVE-2025-61916HIGHSpinnaker vulnerable to SSRF due to improper restrictions on http from user inputEPSS 0.2%CVE-2026-56587LOWHCL IEM was affected with Strict transport security not enforcedEPSS 0.2%CVE-2024-4188HIGHSecurity vulnerability exists in Documentum server cloud releases that could allow access to sensitive information which can impact system Operation.EPSS 0.2%CVE-2026-36610MEDIUMMercusys AC12G (EU) V1 with firmware AC12G(EU)_V1_200909 transmits DDNS credentials over plaintext HTTP with only Base64 encoding. The firmwEPSS 0.1%