Weaknesses of type CWE-303

109 results

Implementação incorreta de algoritmos de autenticação

Quando o desenvolvedor implementa um algoritmo de autenticação de forma errada — pulando passos, ignorando validações ou usando lógica falha — abre brecha para um atacante contornar o mecanismo de autenticação sem credenciais válidas. É diferente de usar um algoritmo fraco: aqui o algoritmo em si pode ser sólido, mas a execução é que está quebrada.

Example

Um sistema que verifica senha comparando strings sem usar hash, ou uma API que valida token JWT mas ignora a expiração, ou uma autenticação de dois fatores que não bloqueia a tentativa caso o segundo fator falhe — em todos os casos, a lógica de autenticação tem um buraco que permite acesso não autorizado.

How to mitigate

Use bibliotecas consolidadas de autenticação (bcrypt, PBKDF2, Argon2 para senhas; JWT com validação completa de assinatura e expiração) em vez de codificar do zero. Revise a lógica de autenticação em code review técnico rigoroso, verificando se todos os passos são executados corretamente e sem desvios.

CVE-2024-10127CRITICALSupport for authentication bypass condition in M-Files LDAP authenticationEPSS 0.6%CVE-2024-5658MEDIUMCraftCMS Plugin - Two-Factor Authentication - TOTP Token Stays Valid After UseEPSS 0.6%CVE-2022-43635MEDIUMThis vulnerability allows network-adjacent attackers to disclose sensitive information on affected installations of TP-Link TL-WR940N 6_2111EPSS 0.6%CVE-2024-32879MEDIUMsocial-auth-app-django Improper Handling of Case Sensitivity vulnerabilityEPSS 0.6%CVE-2023-25957CRITICALA vulnerability has been identified in Mendix SAML (Mendix 7 compatible) (All versions >= V1.16.4 < V1.17.3), Mendix SAML (Mendix 8 compatibEPSS 0.6%CVE-2024-3046HIGHIn Eclipse Kura LogServlet component included in versions 5.0.0 to 5.4.1, a specifically crafted request to the servlet can allow an unautheEPSS 0.6%CVE-2024-35190MEDIUMAsterisk' res_pjsip_endpoint_identifier_ip: wrongly matches ALL unauthorized SIP requestsEPSS 0.6%CVE-2025-63210CRITICALThe Newtec Celox UHD (models: CELOXA504, CELOXA820) running firmware version celox-21.6.13 is vulnerable to an authentication bypass. An attEPSS 0.5%CVE-2022-4861MEDIUMIncorrect Implementation of Authentication AlgorithmEPSS 0.5%CVE-2026-3869CRITICALCWE-303 : Incorrect Implementation of Authentication Algorithm vulnerability exists that could cause loss of confidentiality, integrity and EPSS 0.5%CVE-2023-39953MEDIUMIssuer not verified from obtained token in user_oidcEPSS 0.5%CVE-2026-0073HIGHIn adbd_tls_verify_cert of auth.cpp, there is a possible bypass of wireless ADB mutual authentication due to a logic error in the code. ThisEPSS 0.5%CVE-2026-47300HIGHASP.NET Core Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2026-41053HIGHOver-inclusive team membership expansion in GitHub App authentication provider for RancherEPSS 0.5%CVE-2023-31211HIGHDisabled automation users could still authenticateEPSS 0.5%CVE-2026-35579HIGHCoreDNS TSIG authentication bypass on gRPC, QUIC, DoH, and DoH3 transportsEPSS 0.5%CVE-2026-11430MEDIUMGrav CMS Scheduler Webhook Authentication Bypass via Null Short-CircuitEPSS 0.5%CVE-2026-43640HIGHBitwarden Server < 2026.4.1 Authentication Bypass via SCIM API KeyEPSS 0.5%CVE-2026-46595CRITICALInvoking VerifiedPublicKeyCallback permissions skip enforcement in golang.org/x/crypto/sshEPSS 0.5%CVE-2024-25157MEDIUMAuthentication bypass in GoAnywhere MFT prior to 7.6.0EPSS 0.5%