Weaknesses of type CWE-290

721 results

Autenticação insuficiente contra falsificação de identidade

Ocorre quando o mecanismo de autenticação falha em validar corretamente a identidade do usuário ou cliente, permitindo que um atacante se passe por outra pessoa. A implementação não implementa verificações robustas (como criptografia, assinaturas digitais ou desafios aleatórios), deixando a autenticação vulnerável a spoofing.

Example

Um sistema de API que valida usuários apenas pelo campo 'nome de usuário' em um cabeçalho HTTP sem usar token, sessão ou assinatura criptográfica — um atacante altera o header e acessa dados de outros usuários. Ou um protocolo que aceita certificados autoassinados sem verificar a cadeia de confiança, autenticando servidores falsos.

How to mitigate

Use mecanismos de autenticação estabelecidos e testados: tokens JWT com assinatura, OAuth 2.0, ou mTLS. Sempre valide criptograficamente a identidade do cliente, nunca confie em cabeçalhos ou cookies não assinados. Implemente desafios multi-fator e revogue credenciais comprometidas rapidamente.

CVE-2025-32275MEDIUMWordPress Survey Maker plugin <= 5.1.6.3 - Bypass vulnerabilityEPSS 0.3%CVE-2026-8644CRITICALIBM WebSphere Application Server is affected by an identity spoofing vulnerabilityEPSS 0.3%CVE-2026-95524MEDIUMWordPress WP User Frontend plugin <= 4.3.11 - Bypass Vulnerability vulnerabilityEPSS 0.3%CVE-2026-7656HIGHBroken IPv6 Neighbor Discovery input validation allows spoofed RA/NS/NA acceptance in Zephyr net stackEPSS 0.3%CVE-2026-65502MEDIUMWordPress Element Pack Elementor Addons plugin <= 8.7.13 - Captcha Bypass vulnerabilityEPSS 0.3%CVE-2026-32469MEDIUMWordPress CAPTCHA 4WP plugin <= 7.6.0 - Captcha Bypass vulnerabilityEPSS 0.3%CVE-2025-56608MEDIUMThe SourceCodester Android application "Corona Virus Tracker App India" 1.0 uses MD5 for digest authentication in `OkHttpClientWrapper.java`EPSS 0.3%CVE-2026-6213CRITICALRemote Spark SparkView RCEEPSS 0.3%CVE-2026-35656MEDIUMOpenClaw < 2026.3.22 - XFF Loopback Spoofing Bypass in Canvas Authentication and Rate LimiterEPSS 0.3%CVE-2026-55641HIGH9router: Unauthenticated `/v1` proxy access via `Host`-header spoofing → open AI relay + SSRFEPSS 0.3%CVE-2026-14199HIGHSession takeover via Auth Proxy cache key collisionEPSS 0.3%CVE-2026-84766MEDIUMWordPress FluentBooking Pro plugin <= 2.2.1 - Bypass Vulnerability vulnerabilityEPSS 0.3%CVE-2026-8961MEDIUMSpoofing issue in the Form Autofill componentEPSS 0.3%CVE-2025-32227MEDIUMWordPress Asgaros Forum plugin <= 3.0.0 - File Upload Numbers Bypass vulnerabilityEPSS 0.3%CVE-2026-33621MEDIUMPinchTab: Unapplied Rate Limiting Middleware Allows Unbounded Brute-Force of API TokenEPSS 0.3%CVE-2026-13735LOWWireGuard keepalive transport-data messages accepted without Poly1305 authenticationEPSS 0.3%CVE-2026-83845HIGHWindows Internet (wininet.dll) Spoofing VulnerabilityEPSS 0.3%CVE-2023-4566HIGHVulnerability of trust relationships being inaccurate in distributed scenarios. Successful exploitation of this vulnerability may affect serEPSS 0.3%CVE-2026-40854HIGHSession auth bypass via cookie value in T-Mobile 5G Box IDU routersEPSS 0.3%CVE-2023-44117HIGHVulnerability of trust relationships being inaccurate in distributed scenarios. Successful exploitation of this vulnerability may affect serEPSS 0.3%