CWE-540 Base Incomplet

Inclusion of Sensitive Information in Source Code

This vulnerability occurs when sensitive information like passwords, API keys, or internal logic is exposed within source code that remains accessible on a web server or in a public repository.

Définition

What is CWE-540?

This vulnerability occurs when sensitive information like passwords, API keys, or internal logic is exposed within source code that remains accessible on a web server or in a public repository.

Leaving source code containing sensitive data on a live server creates a major security risk. Attackers can directly access these files to harvest credentials, encryption keys, or understand application logic, bypassing the intended security controls of the compiled or executed application. For example, if an attacker retrieves a Perl, Python, or PHP script's source, they can analyze it for bugs, hardcoded database logins, or business logic flaws. This information dramatically simplifies launching further attacks, as it provides a blueprint of the application's weaknesses and secret mechanisms.

Impact réel

Real-world CVEs caused by CWE-540

CVE-2022-25512

Server for Team Awareness Kit (TAK) application includes sensitive tokens in the JavaScript source code.
CVE-2022-24867

The LDAP password might be visible in the html code of a rendered page in an IT Asset Management tool.
CVE-2007-6197

Version numbers and internal hostnames leaked in HTML comments.

Comment les attaquants l'exploitent

Parcours de l'attaquant étape par étape

1
The following code uses an include file to store database credentials:
2
database.inc
3
login.php
4
If the server does not have an explicit handler set for .inc files it may send the contents of database.inc to an attacker without pre-processing, if the attacker requests the file directly. This will expose the database name and password.
5
The following comment, embedded in a JSP, will be displayed in the resulting HTML output.

Exemple de code vulnérable

Vulnerable PHP

database.inc

Vulnérable PHP

<?php
  $dbName = 'usersDB';
  $dbPassword = 'skjdh#67nkjd3$3$';
  ?>

Exemple de code sécurisé

Secure pseudo

Sécurisé pseudo

// Validate, sanitize, or use a safe API before reaching the sink.
function handleRequest(input) {
  const safe = validateAndEscape(input);
  return executeWithGuards(safe);
}

What changed: the unsafe sink is replaced (or the input is validated/escaped) so the same payload no longer triggers the weakness.

Liste de contrôle de prévention

How to prevent CWE-540

Architecture and Design / System Configuration Recommendations include removing this script from the web server and moving it to a location not accessible from the Internet.

Signaux de détection

How to detect CWE-540

SAST High

Exécuter une analyse statique (SAST) sur le code source à la recherche du motif non sécurisé dans le flux de données.

DAST Moderate

Exécuter des tests de sécurité applicative dynamique (DAST) contre le point de terminaison en ligne.

Runtime Moderate

Surveiller les journaux runtime pour détecter des traces d'exception inhabituelles, des entrées malformées ou des tentatives de contournement d'autorisation.

Code review Moderate

Revue de code : signaler tout nouveau code qui traite les entrées de cette surface sans utiliser les helpers du framework validés.

CWE-540

Don't catalog this weakness. Prove it's reachable.

Plexicus turns CWE catalogs into evidence: every CWE-pattern is matched against your real code graph, reach is proven on a sandbox clone, and verified findings ship as reviewed PRs.

Request AI Swarm Pentest

Questions fréquentes

Frequently asked questions

Qu'est-ce que CWE-540 ?

This vulnerability occurs when sensitive information like passwords, API keys, or internal logic is exposed within source code that remains accessible on a web server or in a public repository.

Quelle est la gravité de CWE-540 ?

MITRE n'a pas publié de note de probabilité d'exploitation pour cette faiblesse. Traitez-la comme un impact moyen jusqu'à ce que votre modèle de menace prouve le contraire.

Quels langages ou plateformes sont affectés par CWE-540 ?

MITRE n'a pas spécifié les plateformes affectées pour ce CWE — il peut s'appliquer à la plupart des stacks applicatives.

Comment puis-je prévenir CWE-540 ?

Recommendations include removing this script from the web server and moving it to a location not accessible from the Internet.

Comment Plexicus détecte et corrige CWE-540 ?

Le moteur SAST de Plexicus reconnaît la signature de flux de données de CWE-540 à chaque commit. Lorsqu'une correspondance est trouvée, notre agent Codex Remedium ouvre une PR de correction avec le code corrigé, les tests et un résumé d'une ligne pour le relecteur.

Où puis-je en savoir plus sur CWE-540 ?

MITRE publie la définition canonique à https://cwe.mitre.org/data/definitions/540.html. Vous pouvez également consulter la documentation OWASP et NIST pour des conseils adjacents.

Faiblesses associées

Weaknesses related to CWE-540

CWE-538 Parent

Prêt à valider ce qui compte.

Plexicus est Proof-Driven AppSec : findings validés, compréhension contextuelle et remédiation relue — ancrée dans la preuve, scopée avec vous.

Réserver un Pentest

Inclusion of Sensitive Information in Source Code

What is CWE-540?

Real-world CVEs caused by CWE-540

Parcours de l'attaquant étape par étape

Vulnerable PHP

Secure pseudo

How to prevent CWE-540

How to detect CWE-540

Don't catalog this weakness. Prove it's reachable.

Frequently asked questions

Weaknesses related to CWE-540

Insertion of Sensitive Information into Externally-Accessible File or Directory

Insertion of Sensitive Information into Log File

Exposure of WSDL File Containing Sensitive Information

Inclusion of Sensitive Information in Test Code

Inclusion of Sensitive Information in an Include File

Inclusion of Sensitive Information in Source Code Comments

Further reading

Prêt à valider ce qui compte.

Vérifiez si l'AI Swarm Pentest convient à votre environnement.

Demande reçue. Réservez la prochaine étape.

Sample evidence handover

Server-Side Request Forgery in `webhooks/receiver`