Falhas do tipo CWE-587
1 resultadoAtribuição de comentário de erro sem validação
A fraqueza ocorre quando código de tratamento de erro ou status é registrado ou atribuído sem validação prévia, permitindo que dados não confiáveis ou não sanitizados sejam incorporados em mensagens de diagnóstico. Isso pode levar a injeção de dados maliciosos em logs ou estruturas de controle que processam essas mensagens.
Em um listener de status (como FpdtStatusCodeListenerPei), um código de erro ou mensagem recebida de uma fonte externa é diretamente atribuído a uma variável de comentário sem verificar se contém caracteres perigosos ou valores inválidos. Um atacante pode enviar um status malformado que, ao ser registrado, compromete a integridade dos logs ou causa comportamento inesperado.
Valide e sanitize qualquer dado de erro ou status antes de usá-lo em atribuições ou logs: verifique tipos, ranges, e remova caracteres de controle. Use allowlists de valores aceitos quando possível, ou escape caracteres especiais conforme o contexto (logs, mensagens de sistema) exigir.