Falhas do tipo CWE-656

11 resultados

Confiança em segurança por obscuridade

É a prática de proteger dados ou lógica sensível apenas escondendo-a ou tornando-a difícil de encontrar, sem usar controles de segurança reais. Quando alguém com paciência ou ferramentas analisa o código (reverse engineering, inspeção de tráfego, etc.), a proteção desaba instantaneamente.

Exemplo

Uma chave de API hardcoded em um arquivo JavaScript minificado, ou um algoritmo de criptografia proprietário que não é auditado. Um atacante desminifica o JS, extrai a chave e tem acesso imediato. A obscuridade não é barreira; é ilusão.

Como mitigar

Use criptografia padrão e auditada, armazene segredos fora do código (variáveis de ambiente, cofres), implemente autenticação e autorização adequadas. Obscuridade pode ser camada adicional, nunca a principal. Não confie em 'ninguém vai descobrir' — confie em criptografia comprovada.

CVE-2020-10284CRITICALRVD#3321: No Authentication required to exert manual control of the robotEPSS 1.4%CVE-2024-9138HIGHPrivilege Escalation in Cellular Router, Secure Router, and Network Security AppliancesEPSS 1.1%CVE-2024-12297CRITICALFrontend Authorization Logic Disclosure VulnerabilityEPSS 0.8%CVE-2020-10286CRITICALRVD#3323: Mismanaged permission implementation leads to privilege escalation, exfiltration of sensitive information, and DoSEPSS 0.7%CVE-2020-10277MEDIUMRVD#2562: Booting from a live image leads to exfiltration of sensible information and privilege escalationEPSS 0.4%CVE-2024-5244MEDIUMTP-Link Omada ER605 Reliance on Security Through Obscurity VulnerabilityEPSS 0.3%CVE-2025-25983LOWAn issue in Macro-video Technologies Co.,Ltd V380 Pro android application 2.1.44 and V380 Pro android application 2.1.64 allows an attacker EPSS 0.3%CVE-2026-7161CRITICALGeoVision GV-IP Device Utility Device Authentication insufficient encryption vulnerabilityEPSS 0.2%CVE-2025-59093HIGHInsecure Password Derivation Function for Database Administrator in dormakaba Kaba exos 9300EPSS 0.2%CVE-2026-42363CRITICALGeoVision GV-IP Device Utility Device Authentication insufficient encryption vulnerabilityEPSS 0.2%CVE-2025-7020MEDIUMBYD DiLink OS Incorrect encryption Implementation of system log dumpsEPSS 0.1%