Falhas do tipo CWE-86

11 resultados

Neutralização inadequada de caracteres inválidos em identificadores de página web

A aplicação falha em validar ou sanitizar caracteres especiais e inválidos que aparecem em identificadores (IDs, nomes de atributos, URLs) de páginas web. Isso permite que um atacante injete código malicioso ou manipule a lógica da página, já que caracteres não esperados podem ser interpretados de forma diferente pelo navegador ou pelo servidor.

Exemplo

Um site gera um ID para um elemento HTML dinamicamente a partir de entrada do usuário sem filtro: `<div id="usuario_' onclick='alert(1)'">`. O navegador interpreta os caracteres especiais como parte da sintaxe HTML/JavaScript, executando o evento malicioso ao invés de tratá-los como texto literal.

Como mitigar

Valide rigorosamente os caracteres aceitos em identificadores (use apenas alfanuméricos e alguns símbolos seguros como hífen e underscore), e escape qualquer caractere especial antes de inserir em atributos HTML ou URLs. Use bibliotecas consolidadas de sanitização (como OWASP HTML Sanitizer ou DOMPurify) ao processar entrada que vira identificador.

CVE-2026-28417MEDIUMVim has OS Command Injection in netrwEPSS 1.2%CVE-2023-31126CRITICALImproper Neutralization of Invalid Characters in Data Attribute Names in org.xwiki.commons:xwiki-commons-xmlEPSS 0.8%CVE-2023-22840LOWImproper neutralization in software for the Intel(R) oneVPL GPU software before version 22.6.5 may allow an authenticated user to potentiallEPSS 0.4%CVE-2024-10941MEDIUMA malicious website could have included an iframe with an malformed URI resulting in a non-exploitable browser crash. This vulnerability affEPSS 0.4%CVE-2025-20166MEDIUMCisco Common Services Platform Collector Cross-Site Scripting VulnerabilityEPSS 0.4%CVE-2024-21864HIGHImproper neutralization in some Intel(R) Arc(TM) & Iris(R) Xe Graphics software before version 31.0.101.5081 may allow an unauthenticated usEPSS 0.3%CVE-2025-20168MEDIUMCisco Common Services Platform Collector Cross-Site Scripting VulnerabilityEPSS 0.3%CVE-2025-20167MEDIUMCisco Common Services Platform Collector Cross-Site Scripting VulnerabilityEPSS 0.3%CVE-2025-66606LOWA vulnerability has been found in FAST/TOOLS provided by Yokogawa Electric Corporation. This product does not properly encode URLs. An atEPSS 0.2%CVE-2021-33158HIGHImproper neutralization in some Intel(R) Ethernet Adapters and Intel(R) Ethernet Controller I225 Manageability firmware may allow a privilegEPSS 0.2%CVE-2026-71478MEDIUMleague/commonmark: AttributesExtension href/src unsafe-link filter bypass via embedded control bytesEPSS 0.2%