CWE-200 · 11 599 записей
Раскрытие конфиденциальной информации неавторизованному лицу
Почему это происходит?
Расширение запрашивает более широкие разрешения, чем требуется для его функции, и отправляет собранные данные вовне для целей, не связанных с его назначением.
Как предотвратить
- 01Запрашивайте только те разрешения, которые нужны для работы функции.
- 02Чётко документируйте собираемые данные и сводите их объём к минимуму.
- 03В корпоративных браузерах управляйте расширениями через список разрешённых.
Уязвимый и исправленный код
Показательный учебный пример. Выделенные строки показывают, где ошибка и где исправление.
Уязвимый код
{
"permissions": ["tabs", "<all_urls>"],
"background": { "service_worker": "analytics.js" }
}Исправленный код
{
"permissions": ["activeTab"],
"host_permissions": ["https://yildiz.example/*"]
}Есть ли этот шаблон в вашем коде?
В рамках услуги «Пентест веб-приложений и API» мы целенаправленно ищем этот класс. Результаты передаются с указанием номеров строк.
CVE этого класса
10 000 записей
| Срочность | CVE | Уязвимость | Критичность | KEV | EPSS | Опубликовано |
|---|---|---|---|---|---|---|
94Срочно | CVE-2024-24919Готовый эксплойт | Information disclosurecheckpoint · quantum spark firmware · CWE-200 | Высокая8,6 | KEV | 99,9 % | 28 мая 2024 г. |
89Срочно | CVE-2021-41277Готовый эксплойт | GeoJSON URL validation can expose server files and environment variables to unauthorized usersmetabase · metabase · CWE-200 | Высокая7,5 | KEV | 97,1 % | 17 нояб. 2021 г. |
86Срочно | CVE-2016-6415Готовый эксплойт | The server IKEv1 implementation in Cisco IOS 12.2 through 12.4 and 15.0 through 15.6, IOS XE through 3.18S, IOS XR 4.3.x and 5.0.x through 5cisco · ios · CWE-200 | Высокая7,5 | KEV | 87,6 % | 18 сент. 2016 г. |
85Срочно | CVE-2023-28432Готовый эксплойт | Minio Information Disclosure in Cluster Deploymentminio · minio · CWE-200 | Высокая7,5 | KEV | 83,9 % | 22 мар. 2023 г. |
83Срочно | CVE-2023-49103Готовый эксплойт | An issue was discovered in ownCloud owncloud/graphapi 0.2.x before 0.2.1 and 0.3.x before 0.3.1.owncloud · graph api · CWE-200 | Высокая7,5 | KEV | 77,7 % | 21 нояб. 2023 г. |
82Срочно | CVE-2025-31125Готовый эксплойт | Vite has a `server.fs.deny` bypassed for `inline` and `raw` with `?import` queryvitejs · vite · CWE-200 | Высокая7,5 | KEV | 74,9 % | 31 мар. 2025 г. |
81Срочно | CVE-2020-3259Готовый эксплойт | Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software Web Services Information Disclosure Vulnerabilitycisco · secure firewall threat defense · CWE-200 | Высокая7,5 | KEV | 71,5 % | 6 мая 2020 г. |
76На этой неделе | CVE-2008-0655Готовый эксплойт | Multiple unspecified vulnerabilities in Adobe Reader and Acrobat before 8.1.2 have unknown impact and attack vectors.adobe · acrobat · CWE-200 | Высокая8,8 | KEV | 37,8 % | 7 февр. 2008 г. |
71На этой неделе | CVE-2026-20133Готовый эксплойт | A vulnerability in Cisco Catalyst SD-WAN Software could allow an unauthenticated, remote attacker to view sensitive information on an affectcisco · catalyst sd-wan manager · CWE-200 | Высокая7,5 | KEV | 35,2 % | 25 февр. 2026 г. |
67На этой неделе | CVE-2021-27850Готовый эксплойт | Bypass of the fix for CVE-2019-0195apache · tapestry · CWE-200 | Критическая9,8 | — | 93,5 % | 15 апр. 2021 г. |
67На этой неделе | CVE-2016-2388Готовый эксплойт | The Universal Worklist Configuration in SAP NetWeaver AS JAVA 7.4 allows remote attackers to obtain sensitive user information via a craftedsap · netweaver application server java · CWE-200 | Средняя5,3 | KEV | 52,2 % | 16 февр. 2016 г. |
67На этой неделе | CVE-2015-5317Готовый эксплойт | The Fingerprints pages in Jenkins before 1.638 and LTS before 1.625.2 might allow remote attackers to obtain sensitive job and build name injenkins · jenkins · CWE-200 | Высокая7,5 | KEV | 23,0 % | 25 нояб. 2015 г. |
66На этой неделе | CVE-2015-0310Готовый эксплойт | Adobe Flash Player before 13.0.0.262 and 14.x through 16.x before 16.0.0.287 on Windows and OS X and before 11.2.202.438 on Linux does not padobe · flash player · CWE-200 | Высокая7,8 | KEV | 15,0 % | 23 янв. 2015 г. |
62На этой неделе | CVE-2018-1000600Есть PoC | A exposure of sensitive information vulnerability exists in Jenkins GitHub Plugin 1.29.1 and earlier in GitHubTokenCredentialsCreator.java tjenkins · github · CWE-200 | Высокая8,8 | — | 90,8 % | 26 июн. 2018 г. |
62На этой неделе | CVE-2018-0127Есть PoC | A vulnerability in the web interface of Cisco RV132W ADSL2+ Wireless-N VPN Routers and Cisco RV134W VDSL2 Wireless-AC VPN Routers could allocisco · rv132w firmware · CWE-200 | Критическая9,8 | — | 77,7 % | 8 февр. 2018 г. |
62На этой неделе | CVE-2025-68686Готовый эксплойт | An Exposure of Sensitive Information to an Unauthorized Actor vulnerability [CWE-200] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.1,fortinet · fortios · CWE-200 | Средняя5,9 | KEV | 29,4 % | 10 февр. 2026 г. |
61На этой неделе | CVE-2025-11749Готовый эксплойт | AI Engine <= 3.1.3 - Unauthenticated Sensitive Information Exposure to Privilege Escalationtigroumeow · ai engine – the chatbot, ai framework & mcp for wordpress · CWE-200 | Критическая9,8 | — | 74,8 % | 5 нояб. 2025 г. |
61На этой неделе | CVE-2018-7251Есть PoC | An issue was discovered in config/error.php in Anchor 0.12.3.anchorcms · anchor · CWE-200 | Критическая9,8 | — | 71,8 % | 19 февр. 2018 г. |
60На этой неделе | CVE-2020-14181Готовый эксплойт | Affected versions of Atlassian Jira Server and Data Center allow an unauthenticated user to enumerate users via an Information Disclosure vuatlassian · data center · CWE-200 | Средняя5,3 | — | 99,6 % | 16 сент. 2020 г. |
60На этой неделе | CVE-2021-34429Готовый эксплойт | For Eclipse Jetty versions 9.4.37-9.4.42, 10.0.1-10.0.5 & 11.0.1-11.0.5, URIs can be crafted using some encoded characters to access the coneclipse · jetty · CWE-200 | Средняя5,3 | — | 99,3 % | 15 июл. 2021 г. |
60На этой неделе | CVE-2018-11409Готовый эксплойт | Splunk through 7.0.1 allows information disclosure by appending __raw/services/server/info/server-info?output_mode=json to a query, as demonsplunk · splunk · CWE-200 | Средняя5,3 | — | 98,2 % | 8 июн. 2018 г. |
60На этой неделе | CVE-2016-6210Готовый эксплойт | sshd in OpenSSH before 7.3, when SHA256 or SHA512 are used for user password hashing, uses BLOWFISH hashing on a static password when the usopenbsd · openssh · CWE-200 | Средняя5,9 | — | 88,9 % | 13 февр. 2017 г. |
60На этой неделе | CVE-2017-16894Готовый эксплойт | In Laravel framework through 5.5.21, remote attackers can obtain sensitive information (such as externally usable passwords) via a direct relaravel · laravel · CWE-200 | Высокая7,5 | — | 86,9 % | 19 нояб. 2017 г. |
60На этой неделе | CVE-2018-4993Готовый эксплойт | Adobe Acrobat and Reader versions 2018.011.20038 and earlier, 2017.011.30079 and earlier, and 2015.006.30417 and earlier have an NTLM SSO haadobe · acrobat dc · CWE-200 | Высокая7,5 | — | 86,7 % | 9 июл. 2018 г. |
60На этой неделе | CVE-2016-10073Готовый эксплойт | The from method in library/core/class.email.php in Vanilla Forums before 2.3.1 allows remote attackers to spoof the email domain in sent mesvanillaforums · vanilla · CWE-200 | Высокая7,5 | — | 83,6 % | 23 мая 2017 г. |
- CVE-2024-2491994Срочно
Information disclosure
ВысокаяCVSS 8,6KEVГотовый эксплойтEPSS 99 %checkpoint · quantum spark firmware28 мая 2024 г.
- CVE-2021-4127789Срочно
GeoJSON URL validation can expose server files and environment variables to unauthorized users
ВысокаяCVSS 7,5KEVГотовый эксплойтEPSS 97 %metabase · metabase17 нояб. 2021 г.
- CVE-2016-641586Срочно
The server IKEv1 implementation in Cisco IOS 12.2 through 12.4 and 15.0 through 15.6, IOS XE through 3.18S, IOS XR 4.3.x and 5.0.x through 5
ВысокаяCVSS 7,5KEVГотовый эксплойтEPSS 87 %cisco · ios18 сент. 2016 г.
- CVE-2023-2843285Срочно
Minio Information Disclosure in Cluster Deployment
ВысокаяCVSS 7,5KEVГотовый эксплойтEPSS 83 %minio · minio22 мар. 2023 г.
- CVE-2023-4910383Срочно
An issue was discovered in ownCloud owncloud/graphapi 0.2.x before 0.2.1 and 0.3.x before 0.3.1.
ВысокаяCVSS 7,5KEVГотовый эксплойтEPSS 77 %owncloud · graph api21 нояб. 2023 г.
- CVE-2025-3112582Срочно
Vite has a `server.fs.deny` bypassed for `inline` and `raw` with `?import` query
ВысокаяCVSS 7,5KEVГотовый эксплойтEPSS 74 %vitejs · vite31 мар. 2025 г.
- CVE-2020-325981Срочно
Cisco Adaptive Security Appliance Software and Firepower Threat Defense Software Web Services Information Disclosure Vulnerability
ВысокаяCVSS 7,5KEVГотовый эксплойтEPSS 71 %cisco · secure firewall threat defense6 мая 2020 г.
- CVE-2008-065576На этой неделе
Multiple unspecified vulnerabilities in Adobe Reader and Acrobat before 8.1.2 have unknown impact and attack vectors.
ВысокаяCVSS 8,8KEVГотовый эксплойтEPSS 37 %adobe · acrobat7 февр. 2008 г.
- CVE-2026-2013371На этой неделе
A vulnerability in Cisco Catalyst SD-WAN Software could allow an unauthenticated, remote attacker to view sensitive information on an affect
ВысокаяCVSS 7,5KEVГотовый эксплойтEPSS 35 %cisco · catalyst sd-wan manager25 февр. 2026 г.
- CVE-2021-2785067На этой неделе
Bypass of the fix for CVE-2019-0195
КритическаяCVSS 9,8Готовый эксплойтEPSS 93 %apache · tapestry15 апр. 2021 г.
- CVE-2016-238867На этой неделе
The Universal Worklist Configuration in SAP NetWeaver AS JAVA 7.4 allows remote attackers to obtain sensitive user information via a crafted
СредняяCVSS 5,3KEVГотовый эксплойтEPSS 52 %sap · netweaver application server java16 февр. 2016 г.
- CVE-2015-531767На этой неделе
The Fingerprints pages in Jenkins before 1.638 and LTS before 1.625.2 might allow remote attackers to obtain sensitive job and build name in
ВысокаяCVSS 7,5KEVГотовый эксплойтEPSS 23 %jenkins · jenkins25 нояб. 2015 г.
- CVE-2015-031066На этой неделе
Adobe Flash Player before 13.0.0.262 and 14.x through 16.x before 16.0.0.287 on Windows and OS X and before 11.2.202.438 on Linux does not p
ВысокаяCVSS 7,8KEVГотовый эксплойтEPSS 15 %adobe · flash player23 янв. 2015 г.
- CVE-2018-100060062На этой неделе
A exposure of sensitive information vulnerability exists in Jenkins GitHub Plugin 1.29.1 and earlier in GitHubTokenCredentialsCreator.java t
ВысокаяCVSS 8,8Есть PoCEPSS 90 %jenkins · github26 июн. 2018 г.
- CVE-2018-012762На этой неделе
A vulnerability in the web interface of Cisco RV132W ADSL2+ Wireless-N VPN Routers and Cisco RV134W VDSL2 Wireless-AC VPN Routers could allo
КритическаяCVSS 9,8Есть PoCEPSS 77 %cisco · rv132w firmware8 февр. 2018 г.
- CVE-2025-6868662На этой неделе
An Exposure of Sensitive Information to an Unauthorized Actor vulnerability [CWE-200] vulnerability in Fortinet FortiOS 7.6.0 through 7.6.1,
СредняяCVSS 5,9KEVГотовый эксплойтEPSS 29 %fortinet · fortios10 февр. 2026 г.
- CVE-2025-1174961На этой неделе
AI Engine <= 3.1.3 - Unauthenticated Sensitive Information Exposure to Privilege Escalation
КритическаяCVSS 9,8Готовый эксплойтEPSS 74 %tigroumeow · ai engine – the chatbot, ai framework & mcp for wordpress5 нояб. 2025 г.
- CVE-2018-725161На этой неделе
An issue was discovered in config/error.php in Anchor 0.12.3.
КритическаяCVSS 9,8Есть PoCEPSS 71 %anchorcms · anchor19 февр. 2018 г.
- CVE-2020-1418160На этой неделе
Affected versions of Atlassian Jira Server and Data Center allow an unauthenticated user to enumerate users via an Information Disclosure vu
СредняяCVSS 5,3Готовый эксплойтEPSS 99 %atlassian · data center16 сент. 2020 г.
- CVE-2021-3442960На этой неделе
For Eclipse Jetty versions 9.4.37-9.4.42, 10.0.1-10.0.5 & 11.0.1-11.0.5, URIs can be crafted using some encoded characters to access the con
СредняяCVSS 5,3Готовый эксплойтEPSS 99 %eclipse · jetty15 июл. 2021 г.
- CVE-2018-1140960На этой неделе
Splunk through 7.0.1 allows information disclosure by appending __raw/services/server/info/server-info?output_mode=json to a query, as demon
СредняяCVSS 5,3Готовый эксплойтEPSS 98 %splunk · splunk8 июн. 2018 г.
- CVE-2016-621060На этой неделе
sshd in OpenSSH before 7.3, when SHA256 or SHA512 are used for user password hashing, uses BLOWFISH hashing on a static password when the us
СредняяCVSS 5,9Готовый эксплойтEPSS 88 %openbsd · openssh13 февр. 2017 г.
- CVE-2017-1689460На этой неделе
In Laravel framework through 5.5.21, remote attackers can obtain sensitive information (such as externally usable passwords) via a direct re
ВысокаяCVSS 7,5Готовый эксплойтEPSS 86 %laravel · laravel19 нояб. 2017 г.
- CVE-2018-499360На этой неделе
Adobe Acrobat and Reader versions 2018.011.20038 and earlier, 2017.011.30079 and earlier, and 2015.006.30417 and earlier have an NTLM SSO ha
ВысокаяCVSS 7,5Готовый эксплойтEPSS 86 %adobe · acrobat dc9 июл. 2018 г.
- CVE-2016-1007360На этой неделе
The from method in library/core/class.email.php in Vanilla Forums before 2.3.1 allows remote attackers to spoof the email domain in sent mes
ВысокаяCVSS 7,5Готовый эксплойтEPSS 83 %vanillaforums · vanilla23 мая 2017 г.