Weaknesses of type CWE-303
109 resultsImplementação incorreta de algoritmos de autenticação
Quando o desenvolvedor implementa um algoritmo de autenticação de forma errada — pulando passos, ignorando validações ou usando lógica falha — abre brecha para um atacante contornar o mecanismo de autenticação sem credenciais válidas. É diferente de usar um algoritmo fraco: aqui o algoritmo em si pode ser sólido, mas a execução é que está quebrada.
Um sistema que verifica senha comparando strings sem usar hash, ou uma API que valida token JWT mas ignora a expiração, ou uma autenticação de dois fatores que não bloqueia a tentativa caso o segundo fator falhe — em todos os casos, a lógica de autenticação tem um buraco que permite acesso não autorizado.
Use bibliotecas consolidadas de autenticação (bcrypt, PBKDF2, Argon2 para senhas; JWT com validação completa de assinatura e expiração) em vez de codificar do zero. Revise a lógica de autenticação em code review técnico rigoroso, verificando se todos os passos são executados corretamente e sem desvios.