Falhas do tipo CWE-547

11 resultados

Uso de constantes sensíveis hardcoded no código

A fraqueza ocorre quando valores críticos para segurança — como senhas, chaves criptográficas, tokens ou URLs de produção — são gravados diretamente no código-fonte. Isso expõe essas credenciais a qualquer pessoa com acesso ao repositório, binários compilados ou arquivos de configuração, comprometendo a segurança da aplicação.

Exemplo

Um desenvolvedor grava a senha do banco de dados como `const DB_PASSWORD = "admin123"` dentro do código, ou insere uma chave de API como string literal em um arquivo Python. Se o código vazar ou for publicado em um repositório público, qualquer pessoa consegue roubar essas credenciais.

Como mitigar

Armazene constantes sensíveis em variáveis de ambiente, arquivos de configuração não versionados (.env, .gitignore), cofres de secrets (AWS Secrets Manager, Azure Key Vault, HashiCorp Vault) ou gerenciadores de credenciais. Use diferentes valores para desenvolvimento, teste e produção, e nunca versione credenciais no repositório.

CVE-2019-14837CRITICALA flaw was found in keycloack before version 8.0.0. The owner of 'placeholder.org' domain can setup mail server on this domain and knowing oEPSS 1.7%CVE-2024-32021LOWLocal Git clone may hardlink arbitrary user-readable files into the new repository's "objects/" directoryEPSS 1.0%CVE-2023-1712CRITICALUse of Hard-coded, Security-relevant Constants in deepset-ai/haystackEPSS 0.8%CVE-2025-30206CRITICALDpanel's hard-coded JWT secret leads to remote code executionEPSS 0.8%CVE-2025-49151CRITICALUse of Hard-coded, Security-relevant Constants in MICROSENS NMP Web+EPSS 0.6%CVE-2025-2079HIGHOptigo Networks Visual BACnet Capture Tool and Optigo Visual Networks Capture Tool version 3.1.2rc11 contain a hard coded secret key. This cEPSS 0.4%CVE-2025-2081HIGHOptigo Networks Visual BACnet Capture Tool and Optigo Visual Networks Capture Tool version 3.1.2rc11 are vulnerable to an attacker impersonaEPSS 0.4%CVE-2026-28256MEDIUMUse of Hard-coded Credentials vulnerability in Trane Tracer SC, Tracer SC+, and Tracer ConciergeEPSS 0.3%CVE-2024-39888HIGHA vulnerability has been identified in Mendix Encryption (All versions >= V10.0.0 < V10.0.2). Affected versions of the module define a speciEPSS 0.2%CVE-2024-41885MEDIUMHardcoding sensitive informationEPSS 0.2%CVE-2025-23253LOWNVIDIA NvContainer service for Windows contains a vulnerability in its usage of OpenSSL, where an attacker could exploit a hard-coded constaEPSS 0.2%