Exécuter une analyse statique (SAST) sur le code source à la recherche du motif non sécurisé dans le flux de données.
CWE-451 Classe Brouillon
User Interface (UI) Misrepresentation of Critical Information
This vulnerability occurs when a user interface fails to accurately display or highlight crucial information, potentially misleading users about the true state of the system or the source of data.…
Définition
What is CWE-451?
This vulnerability occurs when a user interface fails to accurately display or highlight crucial information, potentially misleading users about the true state of the system or the source of data. Attackers exploit this weakness to trick users into performing unintended actions, often as part of phishing campaigns or other deception-based attacks.
When an application's UI misrepresents critical data—whether by showing incorrect information, obscuring it, or spoofing its origin—it breaks the user's trust in the interface. This can lead directly to security failures, such as users approving dangerous transactions, downloading malicious files, or ignoring genuine security alerts because they appear untrustworthy. Essentially, if the user cannot rely on what they see, they become vulnerable to manipulation.
Common attack methods include overlaying fake elements over legitimate ones (clickjacking), manipulating file icons to hide dangerous extensions, exploiting race conditions to show false status indicators, or using visual tricks like character homographs in URLs. Developers must treat the UI as a critical security layer, ensuring it consistently and clearly communicates the true system state, source of information, and potential risks without ambiguity or omission.
Impact réel
Real-world CVEs caused by CWE-451
-
Web browser's filename selection dialog only shows the beginning portion of long filenames, which can trick users into launching executables with dangerous extensions.
-
Attachment with many spaces in filename bypasses "dangerous content" warning and uses different icon. Likely resultant.
-
Misrepresentation and equivalence issue.
-
Lock spoofing from several different weaknesses.
-
Incorrect indicator: web browser can be tricked into presenting the wrong URL
-
Incorrect indicator: Lock icon displayed when an insecure page loads a binary file loaded from a trusted site.
-
Incorrect indicator: Secure "lock" icon is presented for one channel, while an insecure page is being simultaneously loaded in another channel.
-
Incorrect indicator: Certain redirect sequences cause security lock icon to appear in web browser, even when page is not encrypted.
Comment les attaquants l'exploitent
Parcours de l'attaquant étape par étape
- 1
Identifier un chemin de code qui traite des entrées non fiables sans validation.
- 2
Élaborer une charge utile qui exploite le comportement non sécurisé — injection, traversal, débordement ou abus de logique.
- 3
Délivrer la charge utile via une requête normale et observer la réaction de l'application.
- 4
Itérer jusqu'à ce que la réponse divulgue des données, exécute le code de l'attaquant ou élève les privilèges.
Exemple de code vulnérable
Vulnerable pseudo
MITRE n'a pas publié d'exemple de code pour ce CWE. Le motif ci-dessous est illustratif — voir Ressources pour les références canoniques.
// Example pattern — see MITRE for the canonical references.
function handleRequest(input) {
// Untrusted input flows directly into the sensitive sink.
return executeUnsafe(input);
} Exemple de code sécurisé
Secure pseudo
// Validate, sanitize, or use a safe API before reaching the sink.
function handleRequest(input) {
const safe = validateAndEscape(input);
return executeWithGuards(safe);
} What changed: the unsafe sink is replaced (or the input is validated/escaped) so the same payload no longer triggers the weakness.
Liste de contrôle de prévention
How to prevent CWE-451
- Implementation Perform data validation (e.g. syntax, length, etc.) before interpreting the data.
- Architecture and Design Create a strategy for presenting information, and plan for how to display unusual characters.
Signaux de détection
How to detect CWE-451
Exécuter des tests de sécurité applicative dynamique (DAST) contre le point de terminaison en ligne.
Surveiller les journaux runtime pour détecter des traces d'exception inhabituelles, des entrées malformées ou des tentatives de contournement d'autorisation.
Revue de code : signaler tout nouveau code qui traite les entrées de cette surface sans utiliser les helpers du framework validés.
Plexicus détecte automatiquement CWE-451 et ouvre une PR de correction en moins de 60 secondes.
Codex Remedium analyse chaque commit, identifie cette faiblesse précise et livre une pull request prête à être relue avec le correctif. Pas de tickets. Pas de transferts.
Questions fréquentes Qu'est-ce que CWE-451 ?
Quelle est la gravité de CWE-451 ?
Quels langages ou plateformes sont affectés par CWE-451 ?
Comment puis-je prévenir CWE-451 ?
Comment Plexicus détecte et corrige CWE-451 ?
Où puis-je en savoir plus sur CWE-451 ?
Frequently asked questions
Qu'est-ce que CWE-451 ?
This vulnerability occurs when a user interface fails to accurately display or highlight crucial information, potentially misleading users about the true state of the system or the source of data. Attackers exploit this weakness to trick users into performing unintended actions, often as part of phishing campaigns or other deception-based attacks.
Quelle est la gravité de CWE-451 ?
MITRE n'a pas publié de note de probabilité d'exploitation pour cette faiblesse. Traitez-la comme un impact moyen jusqu'à ce que votre modèle de menace prouve le contraire.
Quels langages ou plateformes sont affectés par CWE-451 ?
MITRE n'a pas spécifié les plateformes affectées pour ce CWE — il peut s'appliquer à la plupart des stacks applicatives.
Comment puis-je prévenir CWE-451 ?
Perform data validation (e.g. syntax, length, etc.) before interpreting the data. Create a strategy for presenting information, and plan for how to display unusual characters.
Comment Plexicus détecte et corrige CWE-451 ?
Le moteur SAST de Plexicus reconnaît la signature de flux de données de CWE-451 à chaque commit. Lorsqu'une correspondance est trouvée, notre agent Codex Remedium ouvre une PR de correction avec le code corrigé, les tests et un résumé d'une ligne pour le relecteur.
Où puis-je en savoir plus sur CWE-451 ?
MITRE publie la définition canonique à https://cwe.mitre.org/data/definitions/451.html. Vous pouvez également consulter la documentation OWASP et NIST pour des conseils adjacents.
Faiblesses associées
Weaknesses related to CWE-451
CWE-684 Parent
Incorrect Provision of Specified Functionality
This weakness occurs when software behaves differently than its documented specifications, which can mislead users and create security…
CWE-1245 Frère
Improper Finite State Machines (FSMs) in Hardware Logic
This vulnerability occurs when hardware logic contains flawed Finite State Machines (FSMs). Attackers can exploit these design errors to…
CWE-392 Frère
Missing Report of Error Condition
This vulnerability occurs when a system fails to properly signal that an error has happened. Instead of returning a clear error code,…
CWE-393 Frère
Return of Wrong Status Code
This vulnerability occurs when a function returns an inaccurate status code or value that misrepresents the actual outcome of an…
CWE-440 Frère
Expected Behavior Violation
This weakness occurs when a software component, such as a function, API, or feature, fails to act as documented or intended. The system's…
CWE-446 Frère
UI Discrepancy for Security Feature
This vulnerability occurs when a user interface incorrectly displays a security feature as active or properly configured, misleading users…
CWE-912 Frère
Hidden Functionality
Hidden functionality refers to undocumented features, commands, or code within a product that are not part of its official specification…
CWE-346 Pair
Origin Validation Error
This vulnerability occurs when an application fails to properly confirm the true origin of incoming data or communication, allowing…
CWE-1007 Enfant
Insufficient Visual Distinction of Homoglyphs Presented to User
This vulnerability occurs when an application shows text or symbols to users without clearly distinguishing between characters that look…
Prêt quand vous l'êtes
Arrêtez de payer par développeur.
Commencez à fermer la boucle.
Plexicus est l'ASPM natif IA qui scanne, filtre, corrige, penteste et explique — de façon autonome. Développeurs illimités, dépôts illimités, actions IA à usage équitable. Vrai niveau gratuit, €269/mo annuel quand vous êtes prêt.