Weaknesses of type CWE-1241

9 results

Uso de algoritmo previsível em gerador de números aleatórios

Ocorre quando o código usa um gerador de números aleatórios com um algoritmo previsível ou com seed (semente) fraca, permitindo que um atacante preveja os valores gerados. Isso compromete qualquer funcionalidade que dependa de aleatoriedade criptográfica, como tokens de sessão, chaves temporárias ou IDs únicos.

Example

Um sistema usa Math.random() do JavaScript para gerar tokens de reset de senha, ou um app Java usa java.util.Random com seed baseada em System.currentTimeMillis(). Um atacante consegue calcular o próximo token e invadir contas alheias.

How to mitigate

Use APIs criptograficamente seguras: java.security.SecureRandom em Java, os.urandom() em Python, crypto.getRandomBytes() em Node.js. Evite Math.random(), rand() ou algoritmos LCG (Linear Congruential Generator) para operações sensíveis.

CVE-2016-10180HIGHAn issue was discovered on the D-Link DWR-932B router. WPS PIN generation is based on srand(time(0)) seeding.EPSS 4.4%CVE-2021-3689HIGHUse of Predictable Algorithm in Random Number Generator in yiisoft/yii2EPSS 1.9%CVE-2021-3692HIGHUse of Predictable Algorithm in Random Number Generator in yiisoft/yii2EPSS 1.7%CVE-2026-26018HIGHCoreDNS Loop Detection Denial of Service VulnerabilityEPSS 1.1%CVE-2023-4695CRITICALUse of Predictable Algorithm in Random Number Generator in pkp/pkp-libEPSS 0.6%CVE-2025-13079MEDIUMPopup Builder - Create highly converting, mobile friendly marketing popups. <= 4.4.2 - Improper Authorization to Unauthenticated Subscriber Removal via Predictable TokensEPSS 0.4%CVE-2025-32056MEDIUMAnti-Theft Bypass for Infotainment ECUEPSS 0.3%CVE-2026-57869HIGHBroken object-level access controls and the use of a deterministic pattern during random ID generation in MicroRealEstate allows attackers tEPSS 0.2%CVE-2026-6420MEDIUMKeylime: keylime: security bypass due to hardcoded tpm quote nonceEPSS 0.1%