CWE-360 Base Incompleto High likelihood

Trust of System Event Data

This vulnerability occurs when software blindly trusts system event data without verifying its source, allowing attackers to spoof events and manipulate application behavior.

Definición

What is CWE-360?

This vulnerability occurs when software blindly trusts system event data without verifying its source, allowing attackers to spoof events and manipulate application behavior.

System events, like Windows messages or application-level notifications, function as an internal broadcast system without built-in authentication. Any program running in the same context (like a Windows desktop session) can send these events to any listening window or process. Since there's no default mechanism to verify where an event originated, malicious applications can easily forge them. To prevent exploitation, developers must implement explicit validation for all incoming event data. This includes verifying the sender's identity or permissions, sanitizing the event content, and implementing allow-lists for expected commands. Never assume an event is safe simply because it arrived through a system messaging channel.

Impacto en el mundo real

Real-world CVEs caused by CWE-360

CVE-2004-0213

Attacker uses Shatter attack to bypass GUI-enforced protection for CVE-2003-0908.

Cómo lo explotan los atacantes

Ruta del atacante paso a paso

1
Identifica una ruta de código que maneje entrada no confiable sin validación.
2
Crea un payload que ejercite el comportamiento inseguro — inyección, traversal, overflow o abuso de lógica.
3
Envía el payload a través de una solicitud normal y observa la reacción de la aplicación.
4
Itera hasta que la respuesta filtre datos, ejecute código del atacante o escale privilegios.

Ejemplo de código vulnerable

Vulnerable Java

This example code prints out secret information when an authorized user activates a button:

Vulnerable Java

public void actionPerformed(ActionEvent e) {
  	if (e.getSource() == button) {
  		System.out.println("print out secret information");
  	}
  }

Ejemplo de código seguro

Secure pseudo

Seguro pseudo

// Validate, sanitize, or use a safe API before reaching the sink.
function handleRequest(input) {
  const safe = validateAndEscape(input);
  return executeWithGuards(safe);
}

What changed: the unsafe sink is replaced (or the input is validated/escaped) so the same payload no longer triggers the weakness.

Lista de prevención

How to prevent CWE-360

Architecture and Design Never trust or rely any of the information in an Event for security.

Señales de detección

How to detect CWE-360

SAST High

Ejecuta análisis estático (SAST) sobre el código buscando el patrón inseguro en el flujo de datos.

DAST Moderate

Ejecuta pruebas dinámicas de seguridad de aplicaciones (DAST) contra el endpoint en vivo.

Runtime Moderate

Vigila los logs en tiempo de ejecución para detectar trazas de excepción inusuales, entradas malformadas o intentos de bypass de autorización.

Code review Moderate

Revisión de código: marca cualquier código nuevo que maneje entrada desde esta superficie sin usar los helpers validados del framework.

CWE-360

Don't catalog this weakness. Prove it's reachable.

Plexicus turns CWE catalogs into evidence: every CWE-pattern is matched against your real code graph, reach is proven on a sandbox clone, and verified findings ship as reviewed PRs.

Request AI Swarm Pentest

Preguntas frecuentes

Frequently asked questions

¿Qué es CWE-360?

This vulnerability occurs when software blindly trusts system event data without verifying its source, allowing attackers to spoof events and manipulate application behavior.

¿Qué gravedad tiene CWE-360?

MITRE califica la probabilidad de explotación como Alta — esta debilidad se explota activamente en la práctica y debe priorizarse para su remediación.

¿Qué lenguajes o plataformas se ven afectados por CWE-360?

MITRE no ha especificado plataformas afectadas para esta CWE — puede aplicar a la mayoría de los stacks de aplicaciones.

¿Cómo puedo prevenir CWE-360?

Never trust or rely any of the information in an Event for security.

¿Cómo detecta y corrige Plexicus CWE-360?

El motor SAST de Plexicus detecta la firma de flujo de datos para CWE-360 en cada commit. Cuando hay coincidencia, nuestro agente Codex Remedium abre un PR de corrección con el código corregido, las pruebas y un resumen de una línea para el revisor.

¿Dónde puedo aprender más sobre CWE-360?

MITRE publica la definición canónica en https://cwe.mitre.org/data/definitions/360.html. También puedes consultar la documentación de OWASP y NIST para guías relacionadas.

Debilidades relacionadas

Weaknesses related to CWE-360

CWE-345 Padre

Listo para validar lo que importa.

Plexicus es Proof-Driven AppSec: hallazgos validados, comprensión contextual y remediación revisada — anclada en evidencia, acotada contigo.

Reservar Pentest

Trust of System Event Data

What is CWE-360?

Real-world CVEs caused by CWE-360

Ruta del atacante paso a paso

Vulnerable Java

Secure pseudo

How to prevent CWE-360

How to detect CWE-360

Don't catalog this weakness. Prove it's reachable.

Frequently asked questions

Weaknesses related to CWE-360

Insufficient Verification of Data Authenticity

Missing Source Correlation of Multiple Independent Data

Origin Validation Error

Improper Verification of Cryptographic Signature

Use of Less Trusted Source

Acceptance of Extraneous Untrusted Data With Trusted Data

Insufficient Type Distinction

Cross-Site Request Forgery (CSRF)

Missing Support for Integrity Check

Further reading

Listo para validar lo que importa.

Comprueba si el AI Swarm Pentest encaja en tu entorno.

Solicitud recibida. Reserva el siguiente paso.

Sample evidence handover

Server-Side Request Forgery in `webhooks/receiver`