Weaknesses of type CWE-290

721 results

Autenticação insuficiente contra falsificação de identidade

Ocorre quando o mecanismo de autenticação falha em validar corretamente a identidade do usuário ou cliente, permitindo que um atacante se passe por outra pessoa. A implementação não implementa verificações robustas (como criptografia, assinaturas digitais ou desafios aleatórios), deixando a autenticação vulnerável a spoofing.

Example

Um sistema de API que valida usuários apenas pelo campo 'nome de usuário' em um cabeçalho HTTP sem usar token, sessão ou assinatura criptográfica — um atacante altera o header e acessa dados de outros usuários. Ou um protocolo que aceita certificados autoassinados sem verificar a cadeia de confiança, autenticando servidores falsos.

How to mitigate

Use mecanismos de autenticação estabelecidos e testados: tokens JWT com assinatura, OAuth 2.0, ou mTLS. Sempre valide criptograficamente a identidade do cliente, nunca confie em cabeçalhos ou cookies não assinados. Implemente desafios multi-fator e revogue credenciais comprometidas rapidamente.

CVE-2026-123580HIGHHickory-DNS 0.26.0-beta.1 before 0.26.2 DNSSEC Nonexistence Proof Forgery via NSEC3EPSS 0.3%CVE-2023-49794MEDIUMThe logic of get apk path in KernelSU module can be bypassedEPSS 0.3%CVE-2026-73742MEDIUMImproper Client Address Validation allows Request Attribution Spoofing in Fabric Composer API EndpointEPSS 0.3%CVE-2025-56800MEDIUMReolink desktop application 8.18.12 contains a vulnerability in its local authentication mechanism. The application implements lock screen pEPSS 0.3%CVE-2022-44636MEDIUMThe Samsung TV (2021 and 2022 model) smart remote control allows attackers to enable microphone access via Bluetooth spoofing when a user isEPSS 0.3%CVE-2025-67298HIGHAn issue in ClasroomIO before v.0.2.6 allows a remote attacker to escalate privileges via the endpoints /api/verify and /rest/v1/profileEPSS 0.3%CVE-2024-0454MEDIUMSecurity Vulnerability on Match-on-Chip FPR ArchitectureEPSS 0.3%CVE-2025-66508MEDIUM1Panel IP Access Control Bypass via Untrusted X-Forwarded-For HeadersEPSS 0.3%CVE-2026-8951MEDIUMSpoofing issue in the Toolbar component in Firefox for AndroidEPSS 0.3%CVE-2026-66674MEDIUMWordPress Simple Cloudflare Turnstile plugin <= 1.42.1 - Captcha Bypass vulnerabilityEPSS 0.3%CVE-2026-21862HIGHRustFS sourceIp bypass via spoofed X-Forwarded-For/Real-IP headersEPSS 0.3%CVE-2026-115933CRITICALForged signed tokens let any registered user take over other users and organizationsEPSS 0.2%CVE-2025-32788MEDIUMOctoPrint Authenticated Reverse Proxy Page Authentication BypassEPSS 0.2%CVE-2026-4728MEDIUMSpoofing issue in the Privacy: Anti-Tracking componentEPSS 0.2%CVE-2026-28480MEDIUMOpenClaw < 2026.2.14 - Identity Spoofing via Mutable Username in Telegram Allowlist AuthorizationEPSS 0.2%CVE-2026-105741HIGHLangflow: IP Spoofing Bypass via `X-Forwarded-For` Allowing Remote Configuration WriteEPSS 0.2%CVE-2025-71056HIGHImproper session management in GCOM EPON 1GE ONU version C00R371V00B01 allows attackers to execute a session hijacking attack via spoofing tEPSS 0.2%CVE-2026-54478LOWDNS Cookie bypass when combined with proxy-protocol useEPSS 0.2%CVE-2026-107336MEDIUMAuthentication Bypass by Spoofing in MalcolmEPSS 0.2%CVE-2025-9265CRITICALAPI Authentication Bypass via Header Spoofing vulnerability in Kiloview NDI N30 ProductsEPSS 0.2%