Questão 90 — Vulnerabilidades em Aplicações Web (Segurança da Informação) — Cebraspe · Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) 2026

Segurança da Informação Vulnerabilidades em Aplicações Web

Cebraspe 2026

Secretaria de Estado do Meio Ambiente do Amazonas (SEMA/AM) · Analista Ambiental – Especialidade: Análise de Redes

Gabarito disponível

Durante análise de uma aplicação web utilizada por certa secretaria estadual de meio ambiente para gerenciamento de autos de infração, a equipe de segurança identificou que campos de formulário não tinham validação adequada no servidor. Foi possível enviar dados contendo comandos de banco de dados por meio de um campo de pesquisa, o que resultou em alteração indevida de registros. Em outro teste, verificou-se que o aplicativo refletia, na resposta HTML, trechos de entrada do usuário sem filtragem, permitindo a inserção de scripts que eram executados no navegador de quem acessava a página. Esses dois achados foram registrados no processo de gestão de vulnerabilidades previsto no SGSI da organização, em conformidade com a NBR ISO/IEC 27001:2013.

Considerando ameaças e vulnerabilidades em aplicações web, assinale a opção correta a respeito da classificação das duas falhas descritas na situação hipotética apresentada.

Selecione uma alternativa A) A primeira falha é um cross-site request forgery, e a segunda, um armazenamento inseguro de dados. B) A primeira falha é uma quebra de autenticação, e a segunda, um injection em diretório LDAP. C) A primeira falha é um armazenamento inseguro de dados, e a segunda, um cross-site request forgery. D) A primeira falha é um cross-site scripting, e a segunda, uma referência insegura a objetos. E) A primeira falha é um SQL injection, e a segunda, um cross-site scripting.

Resolução comentada

Comandos de banco de dados via campo de pesquisa são SQL injection, e script refletido é XSS.

Enviar comandos SQL em um campo sem validação, alterando registros, é SQL injection. Refletir a entrada do usuário no HTML sem filtragem, com execução de scripts no navegador, é cross-site scripting (XSS) refletido. A alternativa E associa corretamente cada falha.

Análise das alternativas

A) CSRF é o envio de requisições não autorizadas em nome do usuário autenticado. B) A falha não é de autenticação nem de LDAP. C) Não se trata de armazenamento inseguro nem de CSRF. D) Inverte as classificações; a segunda falha não é referência insegura a objetos.

Referência: OWASP Top 10 — Injection (inclui XSS)

Resolução comentada do VaiConcursos.