Weaknesses of type CWE-204

215 results

Vazamento de informações através de respostas diferenciadas

A aplicação retorna respostas diferentes (tempo de processamento, mensagens de erro, código HTTP, tamanho da resposta) dependendo do estado interno do sistema, permitindo que atacantes deduzam informações sensíveis sem autorização. Por exemplo, responder com 'usuário não encontrado' versus 'senha incorreta' vaza a existência de contas.

Example

Um formulário de login que retorna 'usuário inexistente' para um email não cadastrado, mas 'credenciais inválidas' quando o email existe, permite que invasores enumerem contas válidas da plataforma sem precisar quebrar senhas.

How to mitigate

Padronize todas as respostas de erro (mensagens e tempo de processamento) para cenários de falha similares. Use mensagens genéricas como 'credenciais inválidas' independente do motivo real, e implemente rate limiting para dificultar enumeração automatizada.

CVE-2026-111386MEDIUMNezha 1.7.0 before 2.3.15 Cross-Tenant Server-ID Enumeration via getServerConfigEPSS 0.2%CVE-2026-45294MEDIUMFreeScout: User Account Enumeration via Password Reset Response DifferentiationEPSS 0.2%CVE-2026-44306MEDIUMStatamic: Email enumeration via forgot password endpointEPSS 0.2%CVE-2026-2859MEDIUMUnauthenticated Host Enumeration via Observable Response Discrepancy on Deploy Agent EndpointEPSS 0.2%CVE-2026-45620MEDIUMAVideo CVE-2026-43881 incomplete fix - `objects/mention.json.php:17` is an unauthenticated user enumerationEPSS 0.2%CVE-2023-50306MEDIUMIBM Common Licensing information disclosureEPSS 0.2%CVE-2024-0391MEDIUMUsername Enumeration via Email OTP Flow in Multiple WSO2 Products Allows User Account DiscoveryEPSS 0.2%CVE-2024-31870LOWIBM i information disclosureEPSS 0.2%CVE-2025-3716MEDIUMUser enumeration in ESET Protect (on-prem)EPSS 0.2%CVE-2026-59785MEDIUMHidden host credentials inferable via multiselect.get filteringEPSS 0.2%CVE-2026-34319MEDIUMVulnerability in the MySQL Shell product of Oracle MySQL (component: Shell: Core Client). Supported versions that are affected are 8.0.0-8.EPSS 0.2%CVE-2025-67807MEDIUMThe login mechanism of Sage DPW 2025_06_004 displays distinct responses for valid and invalid usernames, allowing enumeration of existing acEPSS 0.1%CVE-2024-41715MEDIUMgoTenna Pro ATAK Plugin Observable Response DiscrepancyEPSS 0.1%CVE-2024-47129MEDIUMObservable Response Discrepancy in goTenna ProEPSS 0.1%CVE-2026-17202MEDIUMMultiple Vulnerabilities in IBM API ConnectEPSS —