CVE
9 artigos com esta tag
Qual CVE corrigir primeiro: o que CVSS, EPSS e KEV realmente medem
CVSS é gravidade, EPSS é probabilidade de exploração e KEV é exploração confirmada. Um não substitui o outro. Nossos dados das 1.695 entradas do KEV: 64% estão abaixo de CVSS 9 e 24% abaixo de EPSS 0,1 — tanto «corrigir só as notas altas» quanto «EPSS baixo, deixa para depois» falham na prática. Ordene por KEV, depois EPSS, depois CVSS, e defina o prazo pela sua própria exposição.
Next.js e React têm muitas vulnerabilidades? O que os dados de CVE realmente mostram
Os dados dizem que o núcleo do React quase não tem CVEs, enquanto os CVEs do Next.js são numerosos e estão aumentando. O que importa é onde eles ficam: em middleware, cache, otimização de imagens e Server Actions, com SSRF, desserialização e contorno de autorização no topo dos CWEs. A conclusão deste site: o Next.js não deve ser tratado só como um framework de front-end. Ele roda como servidor, então defenda-o como tal: autorize de novo junto aos dados, use allow-list para requisições de saída e coloque os endpoints de Server Actions atrás de autenticação.
Corrigindo CVEs de dependências de verdade: varrer, corrigir, isolar e seguir vigiando
O trabalho de vulnerabilidade não termina quando você 'corrige'. Pronto = 1) varrer, 2) corrigir, 3) isolar/repassar, 4) monitorar. Até o monitoramento (detecção de mudança diária) estar no lugar, está incompleto — dependências voltam a ser vulneráveis amanhã. Uma correção perfeita que o próximo deploy sobrescreve vale zero. Equipes pequenas se mantêm seguras com duas disciplinas: detecção de mudança automatizada e 'local→push→deploy'.
Instalando e usando o osv-scanner: encontre CVEs nas suas dependências automaticamente
O osv-scanner escaneia lockfiles e containers para revelar CVEs nas suas dependências, de graça. Este guia percorre a instalação, a execução e a integração ao CI, além de quando usá-lo vs. npm/pnpm audit vs. Dependabot. A visão deste site: qual ferramenta serve depende da sua configuração. Use o osv-scanner em projetos multi-ecossistema ou sem GitHub, e o pnpm audit embutido para uma única árvore npm.
O que é um CVE? Como funciona o sistema compartilhado de identificação de vulnerabilidades
Um CVE é um identificador globalmente compartilhado de uma vulnerabilidade (por exemplo, CVE-2025-12345). CVE = o nome, CVSS = a severidade, KEV = está sendo explorada. É a âncora do monitoramento. Acompanhe-o com máquinas, não na mão.
O que é RCE (execução remota de código) — por que é a pior classe de falha
RCE permite que um invasor rode código arbitrário no seu servidor — direto para a tomada de controle, a pior classe. Até onde o dano se espalha é definido pelos privilégios do processo em execução. As defesas centrais são patches rápidos, monitoramento de CVE e privilégio mínimo.
Vazamento da Equifax (2017) — como uma falha não corrigida no Apache Struts expôs 147M de pessoas
A causa foi um CVE conhecido e já corrigido (CVSS 10.0) deixado sem aplicar em um sistema público. Um certificado de monitoramento expirado ocultou a exfiltração por 76 dias. No seu ambiente: inventário de ativos, um SLA de patch, monitoramento por máquina e detecção saudável.
Log4Shell (CVE-2021-44228) — uma falha numa biblioteca de logs, e por que as equipes não conseguiam saber rápido se a usavam
O bug CVSS 10.0 do Log4j. O problema central era a dependência transitiva: ser afetado por uma biblioteca que você nem sabia que usava. Um caminho passivo de logs virou vetor de ataque. SBOM, monitoramento por máquina, patch rápido e acompanhar os CVEs de continuação são as lições.
Rodando Next.js com segurança: não ficar para trás nos CVEs publicados
O maior risco de framework são CVEs publicados e negligenciados. Defenda com quatro práticas: julgue pela versão em execução, monitore com Dependabot/osv-scanner, atualize rápido e rode com menor privilégio. A visão deste site: o que costuma faltar a desenvolvedores indie não é conhecimento, mas uma forma de manter a operação em andamento; um sistema que não deixa CVEs escaparem importa mais que velocidade.