目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CWE-636 未能安全地进行程序失效(Failing Open) 类漏洞列表 55

CWE-636 未能安全地进行程序失效(Failing Open) 类弱点 55 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-636“失败时未安全处理”（Failing Open）属于设计缺陷类漏洞。当系统遭遇错误或故障时，其设计导致其回退至比可用选项安全性更低的状态，例如采用最弱加密算法或最宽松访问控制。攻击者通常利用此机制，通过触发异常迫使系统进入低安全模式，从而绕过防护并获取未授权访问。开发者应避免在错误处理中默认启用宽松策略，确保故障状态下系统能进入最保守、最安全的默认状态，或明确拒绝服务而非降低安全标准。

MITRE CWE 官方描述
CWE：CWE-636 未能安全失败（'Failing Open'） 英文：当产品遇到错误条件或故障时，其设计要求它回退到一个比其他可用选项安全性更低的状态，例如选择最弱的加密算法或使用最宽松的访问控制限制。 通过进入安全性较低的状态，产品继承了与该状态相关的弱点，使其更容易被攻破。至少，它会导致管理员产生虚假的安全感。这种弱点通常是由于希望“功能失效”（fail functional）以最小化管理和支持成本，而不是“安全失效”（failing safe）所导致的。
常见影响 (1)
Access Control Bypass Protection Mechanism
Intended access restrictions can be bypassed, which is often contradictory to what the product's administrator expects.
缓解措施 (1)
Architecture and Design Subdivide and allocate resources and components so that a failure in one part does not affect the entire product.
代码示例 (1)
Switches may revert their functionality to that of hubs when the table used to map ARP information to the switch interface overflows, such as when under a spoofing attack. This results in traffic being broadcast to an eavesdropper, instead of being sent only on the relevant switch interface. To mitigate this type of problem, the developer could limit the number of ARP entries that can be recorded …
CVE ID 标题 CVSS 风险等级 Published
CVE-2026-109408 vault-java-driver 忽略 TLS 验证请求漏洞 — vault-java-driver 7.4 High 2026-11-05
CVE-2026-109593 SonicWall GMS 9.5.2 及以下版本未授权文件读取漏洞 — Global Management System (GMS) - - 2026-11-03
CVE-2026-108142 CDP Coordinator 服务未授权绕过漏洞 — Backup and Replication 9.1 Critical 2026-10-27
CVE-2026-105933 Apache Pulsar 命名空间加密要求未强制执行漏洞 — Apache Pulsar 2.3 Low 2026-10-21
CVE-2026-114479 hMailServer 非安全失败（开放）漏洞 — hMailServer 5.8 Medium 2026-10-21
CVE-2026-74048 Apache Tomcat 启动不受 OpenSSL FIPS 失败影响 — Apache Tomcat - - 2026-10-20
CVE-2026-78022 Dell Secure Connect Gateway <5.34.00.16 保护机制绕过漏洞 — Secure Connect Gateway (SCG) Policy Manager 6.8 Medium 2026-10-09
CVE-2026-107735 SumatraPDF 权限初始化失败开放策略漏洞 — sumatrapdf 5.4 Medium 2026-10-08
CVE-2026-101998 Docker 沙箱 Fail-open 响应掩码导致凭据泄露 — Docker Sandboxes 5.9 Medium 2026-10-08
CVE-2026-107584 hMailServer 安全失败机制缺陷 — hMailServer 7.4 High 2026-10-08
CVE-2026-107314 pgjdbc 在 requireAuth 排除所有认证方法时未强制验证 — pgjdbc 5.9 Medium 2026-10-07
CVE-2026-103510 Perforce P4Search 空认证令牌导致绕过身份验证漏洞 — P4 (Helix Core) 9.5 Critical 2026-10-05
CVE-2026-100860 heym 0.0.105 通过 Redis 节点绕过身份验证漏洞 — heym 5.5 Medium 2026-09-27
CVE-2026-100304 TDuck Survey Form 6.0 信息泄露漏洞 — tduck-survey-form 5.3 Medium 2026-09-25
CVE-2026-88831 Busybox HTTPD CIDR前缀处理逻辑错误 — Red Hat Hardened Images 5.3 Medium 2026-09-23
CVE-2026-95848 Moquette 认证类加载失败导致认证绕过漏洞 — moquette 9.3 Critical 2026-09-23
CVE-2026-92591 Craft CMS 5.10.12 之前 环境变量泄露漏洞 — cms 5.9 Medium 2026-09-16
CVE-2026-61595 djust多租户WebSocket隔离失效导致数据泄露 — djust 7.7 High 2026-09-16
CVE-2026-53459 Bambuddy数据库错误致认证失效漏洞 — bambuddy 9.3 Critical 2026-09-15
CVE-2026-81379 Microsoft Visual Studio Code 异常处理不当漏洞 — Visual Studio Code 8.2 High 2026-09-08
CVE-2026-86120 APITable 异常处理不当漏洞 — apitable 4.3 Medium 2026-09-05
CVE-2026-85649 ChewKeanHo Actualizer 异常处理不当漏洞 — software-actualizer 7.9 High 2026-09-04
CVE-2026-18329 F5 NGINX JavaScript 异常处理不当漏洞 — NGINX JavaScript 8.2 High 2026-09-02
CVE-2026-82744 Ash Framework 异常处理不当漏洞 — ash 2.1 Low 2026-09-01
CVE-2026-82018 IGEL OS 异常处理不当漏洞 — IGEL OS 12 6.1 Medium 2026-08-28
CVE-2026-46482 MyBB 异常处理不当漏洞 — mybb 5.3 Medium 2026-08-18
CVE-2026-69306 Microsoft Visual Studio Code 异常处理不当漏洞 — Visual Studio Code 8.2 High 2026-08-11
CVE-2026-68746 Livebook 异常处理不当漏洞 — livebook 7.7 High 2026-08-05
CVE-2026-44094 PHOENIX CONTACT CHARX SEC-3150 异常处理不当漏洞 — CHARX SEC-3150 8.6 High 2026-07-30
CVE-2026-53712 OnGres SCRAM Java Implementation 异常处理不当漏洞 — scram - - 2026-07-17

CWE-636（未能安全地进行程序失效(Failing Open)） 是常见的弱点类别，本平台收录该类弱点关联的 55 条 CVE 漏洞。