CWE-360 Base Incomplete High likelihood

Trust of System Event Data

This vulnerability occurs when software blindly trusts system event data without verifying its source, allowing attackers to spoof events and manipulate application behavior.

Definition

What is CWE-360?

This vulnerability occurs when software blindly trusts system event data without verifying its source, allowing attackers to spoof events and manipulate application behavior.

System events, like Windows messages or application-level notifications, function as an internal broadcast system without built-in authentication. Any program running in the same context (like a Windows desktop session) can send these events to any listening window or process. Since there's no default mechanism to verify where an event originated, malicious applications can easily forge them. To prevent exploitation, developers must implement explicit validation for all incoming event data. This includes verifying the sender's identity or permissions, sanitizing the event content, and implementing allow-lists for expected commands. Never assume an event is safe simply because it arrived through a system messaging channel.

Auswirkungen in der Praxis

Real-world CVEs caused by CWE-360

CVE-2004-0213

Attacker uses Shatter attack to bypass GUI-enforced protection for CVE-2003-0908.

Wie Angreifer es ausnutzen

Angreiferpfad Schritt für Schritt

1
Identifiziere einen Codepfad, der nicht vertrauenswürdige Eingaben ohne Validierung verarbeitet.
2
Erzeuge eine Payload, die das unsichere Verhalten auslöst — Injection, Traversal, Overflow oder Logik-Missbrauch.
3
Liefere die Payload über einen normalen Request aus und beobachte die Reaktion der Anwendung.
4
Iteriere, bis die Antwort Daten preisgibt, Angreifer-Code ausführt oder Berechtigungen eskaliert.

Verwundbares Codebeispiel

Vulnerable Java

This example code prints out secret information when an authorized user activates a button:

Verwundbar Java

public void actionPerformed(ActionEvent e) {
  	if (e.getSource() == button) {
  		System.out.println("print out secret information");
  	}
  }

Sicheres Codebeispiel

Secure pseudo

Sicher pseudo

// Validate, sanitize, or use a safe API before reaching the sink.
function handleRequest(input) {
  const safe = validateAndEscape(input);
  return executeWithGuards(safe);
}

What changed: the unsafe sink is replaced (or the input is validated/escaped) so the same payload no longer triggers the weakness.

Präventions-Checkliste

How to prevent CWE-360

Architecture and Design Never trust or rely any of the information in an Event for security.

Erkennungssignale

How to detect CWE-360

SAST High

Führe statische Analyse (SAST) auf der Codebasis aus und suche im Datenfluss nach dem unsicheren Muster.

DAST Moderate

Führe dynamische Application-Security-Tests gegen den Live-Endpoint aus.

Runtime Moderate

Beobachte Runtime-Logs auf ungewöhnliche Exception-Traces, fehlerhafte Eingaben oder Versuche, Autorisierung zu umgehen.

Code review Moderate

Code Review: Markiere jeden neuen Code, der Eingaben von dieser Oberfläche ohne validierte Framework-Helper verarbeitet.

CWE-360

Don't catalog this weakness. Prove it's reachable.

Plexicus turns CWE catalogs into evidence: every CWE-pattern is matched against your real code graph, reach is proven on a sandbox clone, and verified findings ship as reviewed PRs.

Request AI Swarm Pentest

Häufig gestellte Fragen

Frequently asked questions

Was ist CWE-360?

This vulnerability occurs when software blindly trusts system event data without verifying its source, allowing attackers to spoof events and manipulate application behavior.

Wie gravierend ist CWE-360?

MITRE stuft die Exploit-Wahrscheinlichkeit als hoch ein — diese Schwachstelle wird aktiv in freier Wildbahn ausgenutzt und sollte priorisiert behoben werden.

Welche Sprachen oder Plattformen sind von CWE-360 betroffen?

MITRE hat für diese CWE keine betroffenen Plattformen spezifiziert — sie kann in den meisten Anwendungs-Stacks auftreten.

Wie kann ich CWE-360 verhindern?

Never trust or rely any of the information in an Event for security.

Wie erkennt und behebt Plexicus CWE-360?

Die SAST-Engine von Plexicus erkennt die Datenfluss-Signatur von CWE-360 bei jedem Commit. Bei einem Treffer öffnet unser Codex-Remedium-Agent einen Fix-PR mit korrigiertem Code, Tests und einer einzeiligen Zusammenfassung für den Reviewer.

Wo erfahre ich mehr über CWE-360?

MITRE veröffentlicht die kanonische Definition unter https://cwe.mitre.org/data/definitions/360.html. Für ergänzende Hinweise kannst du auch die OWASP- und NIST-Dokumentation heranziehen.

Verwandte Schwachstellen

Weaknesses related to CWE-360

CWE-345 Parent

Bereit zu validieren, was zählt.

Plexicus ist Proof-Driven AppSec: validierte Funde, kontextuelles Verständnis und geprüfte Remediation — in Evidenz verankert, mit Ihnen gescoped.

Pentest buchen

Trust of System Event Data

What is CWE-360?

Real-world CVEs caused by CWE-360

Angreiferpfad Schritt für Schritt

Vulnerable Java

Secure pseudo

How to prevent CWE-360

How to detect CWE-360

Don't catalog this weakness. Prove it's reachable.

Frequently asked questions

Weaknesses related to CWE-360

Insufficient Verification of Data Authenticity

Missing Source Correlation of Multiple Independent Data

Origin Validation Error

Improper Verification of Cryptographic Signature

Use of Less Trusted Source

Acceptance of Extraneous Untrusted Data With Trusted Data

Insufficient Type Distinction

Cross-Site Request Forgery (CSRF)

Missing Support for Integrity Check

Further reading

Bereit zu validieren, was zählt.

Prüfen Sie, ob AI Swarm Pentest zu Ihrer Umgebung passt.

Anfrage erhalten. Nächsten Schritt buchen.

Sample evidence handover

Server-Side Request Forgery in `webhooks/receiver`