Weaknesses of type CWE-290

721 results

Autenticação insuficiente contra falsificação de identidade

Ocorre quando o mecanismo de autenticação falha em validar corretamente a identidade do usuário ou cliente, permitindo que um atacante se passe por outra pessoa. A implementação não implementa verificações robustas (como criptografia, assinaturas digitais ou desafios aleatórios), deixando a autenticação vulnerável a spoofing.

Example

Um sistema de API que valida usuários apenas pelo campo 'nome de usuário' em um cabeçalho HTTP sem usar token, sessão ou assinatura criptográfica — um atacante altera o header e acessa dados de outros usuários. Ou um protocolo que aceita certificados autoassinados sem verificar a cadeia de confiança, autenticando servidores falsos.

How to mitigate

Use mecanismos de autenticação estabelecidos e testados: tokens JWT com assinatura, OAuth 2.0, ou mTLS. Sempre valide criptograficamente a identidade do cliente, nunca confie em cabeçalhos ou cookies não assinados. Implemente desafios multi-fator e revogue credenciais comprometidas rapidamente.

CVE-2026-81777MEDIUMWordPress Essential Addons for Elementor plugin <= 6.8.0 - Bypass vulnerability vulnerabilityEPSS 0.4%CVE-2026-33131HIGHh3 has a middleware bypass with one gadgetEPSS 0.4%CVE-2023-52176MEDIUMWordPress Malware Scanner plugin <= 4.7.1 - IP Restriction Bypass vulnerabilityEPSS 0.4%CVE-2026-101280MEDIUMTrusted Domain Project OpenDMARC Multi-Record Set opendmarc_policy_query_dmarc authentication spoofingEPSS 0.4%CVE-2023-40702HIGHPingOne MFA Integration Kit MFA bypassEPSS 0.4%CVE-2023-40356HIGHPingOne MFA Integration Kit MFA bypassEPSS 0.4%CVE-2026-104445HIGHYesWiki before 4.6.7 Authentication Bypass via ActivityPub Inbox Actor SpoofingEPSS 0.4%CVE-2025-3875HIGHSender Spoofing via Malformed From Header in ThunderbirdEPSS 0.4%CVE-2026-65570HIGHWordPress Login with phone number plugin <= 1.8.70 - Bypass vulnerability vulnerabilityEPSS 0.4%CVE-2026-82228HIGHWordPress SiteGround Security plugin <= 1.6.6 - 2FA Bypass vulnerabilityEPSS 0.4%CVE-2024-25906MEDIUMWordPress Comments Like Dislike plugin <= 1.2.2 - IP Restriction Bypass Vulnerability vulnerabilityEPSS 0.4%CVE-2023-51323MEDIUMA lack of rate limiting in the 'Forgot Password' feature of PHPJabbers Shared Asset Booking System v1.0 allows attackers to send an excessivEPSS 0.4%CVE-2025-23168MEDIUMThe Versa Director SD-WAN orchestration platform implements Two-Factor Authentication (2FA) using One-Time Passcodes (OTP) delivered via emaEPSS 0.4%CVE-2024-8901MEDIUMLack of JWT issuer and signer validationEPSS 0.4%CVE-2023-51321MEDIUMA lack of rate limiting in the 'Forgot Password' feature of PHPJabbers Night Club Booking Software v1.0 allows attackers to send an excessivEPSS 0.4%CVE-2024-30058MEDIUMMicrosoft Edge (Chromium-based) Spoofing VulnerabilityEPSS 0.4%CVE-2026-42674HIGHWordPress Advanced Access Manager plugin <= 7.1.0 - Bypass Vulnerability vulnerabilityEPSS 0.4%CVE-2026-94197HIGHNGINX Ingress Controller vulnerabilityEPSS 0.4%CVE-2026-6181MEDIUMThe Device Configuration Framework is vulnerable to an authentication bypass flaw. This flaw can only be exploited after authenticating withEPSS 0.4%CVE-2026-93582CRITICALAuthentication Bypass via Spoofed Remote-User Header in HTTP Basic AuthenticationEPSS 0.4%