Weaknesses of type CWE-290

721 results

Autenticação insuficiente contra falsificação de identidade

Ocorre quando o mecanismo de autenticação falha em validar corretamente a identidade do usuário ou cliente, permitindo que um atacante se passe por outra pessoa. A implementação não implementa verificações robustas (como criptografia, assinaturas digitais ou desafios aleatórios), deixando a autenticação vulnerável a spoofing.

Example

Um sistema de API que valida usuários apenas pelo campo 'nome de usuário' em um cabeçalho HTTP sem usar token, sessão ou assinatura criptográfica — um atacante altera o header e acessa dados de outros usuários. Ou um protocolo que aceita certificados autoassinados sem verificar a cadeia de confiança, autenticando servidores falsos.

How to mitigate

Use mecanismos de autenticação estabelecidos e testados: tokens JWT com assinatura, OAuth 2.0, ou mTLS. Sempre valide criptograficamente a identidade do cliente, nunca confie em cabeçalhos ou cookies não assinados. Implemente desafios multi-fator e revogue credenciais comprometidas rapidamente.

CVE-2026-57210HIGHHeimdall: IP Spoofing via Unvalidated Forwarding HeadersEPSS 0.3%CVE-2025-48027MEDIUMThe HttpAuth plugin in pGina.Fork through 3.9.9.12 allows authentication bypass when an adversary controls DNS resolution for pginaloginservEPSS 0.3%CVE-2024-39337MEDIUMClick Studios Passwordstate Core before 9.8 build 9858 allows Authentication Bypass.EPSS 0.3%CVE-2026-35622MEDIUMOpenClaw < 2026.3.22 - Improper Authentication Verification in Google Chat WebhookEPSS 0.3%CVE-2026-13143MEDIUMWP Travel < 11.8.1 - Unauthenticated Payment Bypass via Forged PayPal IPNEPSS 0.3%CVE-2026-31889HIGHShopware has a potential take over of app credentialsEPSS 0.3%CVE-2026-32492MEDIUMWordPress My Tickets plugin <= 2.1.1 - Bypass Vulnerability vulnerabilityEPSS 0.3%CVE-2026-8963HIGHSpoofing issue in the Web Speech componentEPSS 0.3%CVE-2026-97146MEDIUMApache YuniKorn: Admission control bypass via system label forgeryEPSS 0.3%CVE-2025-68644HIGHYealink RPS before 2025-06-27 allows unauthorized access to information, including AutoP URL addresses. This was fixed by deploying an enhanEPSS 0.3%CVE-2025-69203MEDIUMSignal K Server Vulnerable to Access Request SpoofingEPSS 0.3%CVE-2026-72816MEDIUMgo-chi chi before 5.3.0 IP Spoofing via RealIP MiddlewareEPSS 0.3%CVE-2026-72809HIGHSiYuan before v3.7.4 Authentication Bypass via Localhost TrustEPSS 0.3%CVE-2026-0890MEDIUMSpoofing issue in the DOM: Copy & Paste and Drag & Drop componentEPSS 0.3%CVE-2026-49446MEDIUMCosmos: Authentication bypass via forward-auth header smuggling on Constellation tunnel in Cosmos-ServerEPSS 0.3%CVE-2026-54308MEDIUMn8n: Missing Token Validation on Microsoft Agent 365 Trigger NodeEPSS 0.3%CVE-2026-92546HIGHAuthentication Bypass with X-Agentic-Ally-Token in Keepnet Labs Agentic AI / Agentic AllyEPSS 0.3%CVE-2024-1524HIGHA local user can be impersonated when using federated authentication with Silent JIT Provisioning.EPSS 0.3%CVE-2024-35749LOWWordPress Under Construction / Maintenance Mode from Acurax plugin <= 2.6 - IP Bypass vulnerabilityEPSS 0.3%CVE-2026-88879MEDIUMTraefik before v2.11.56 Identity Spoofing via Header AliasEPSS 0.3%