Weaknesses of type CWE-303

109 results

Implementação incorreta de algoritmos de autenticação

Quando o desenvolvedor implementa um algoritmo de autenticação de forma errada — pulando passos, ignorando validações ou usando lógica falha — abre brecha para um atacante contornar o mecanismo de autenticação sem credenciais válidas. É diferente de usar um algoritmo fraco: aqui o algoritmo em si pode ser sólido, mas a execução é que está quebrada.

Example

Um sistema que verifica senha comparando strings sem usar hash, ou uma API que valida token JWT mas ignora a expiração, ou uma autenticação de dois fatores que não bloqueia a tentativa caso o segundo fator falhe — em todos os casos, a lógica de autenticação tem um buraco que permite acesso não autorizado.

How to mitigate

Use bibliotecas consolidadas de autenticação (bcrypt, PBKDF2, Argon2 para senhas; JWT com validação completa de assinatura e expiração) em vez de codificar do zero. Revise a lógica de autenticação em code review técnico rigoroso, verificando se todos os passos são executados corretamente e sem desvios.

CVE-2026-10050HIGHDigest authentication lossy encodingEPSS 0.5%CVE-2020-37094HIGHEspoCRM 5.7.0 < 5.9.0 - Two-Factor Authentication Bypass via Auth Token Reuse Between Accounts with Identical PasswordsEPSS 0.5%CVE-2026-29515CRITICALMiCode FileExplorer SwiFTP Server Authentication BypassEPSS 0.5%CVE-2025-23046MEDIUMGLPI vulnerable to unauthorized authentication by email using the OAuthIMAP pluginEPSS 0.5%CVE-2026-50627CRITICALApache CXF: OAuth2: Missing JWT Audience and Issuer Validation in Access Token ValidatorEPSS 0.4%CVE-2025-14510CRITICALABB Ability OPTIMAX Authentication Bypass in Single-Sign OnEPSS 0.4%CVE-2025-61783MEDIUMPython Social Auth - Django has unsafe account associationEPSS 0.4%CVE-2024-9999MEDIUMMulti-Factor Authentication Bypass in Progress WS_FTP ServerEPSS 0.4%CVE-2026-49467HIGHTOTP enrollment hijack: password gate skipped due to unawaited promiseEPSS 0.4%CVE-2024-8642MEDIUMEclipse EDC: Consumer pull transfer token validation checks not appliedEPSS 0.4%CVE-2026-73458CRITICALOn affected platforms running Arista EOS with authenticated Bidirectional Forwarding Detection (BFD) sessions configured, a specially crafted packet can cause the BFD session(s) to go down. This may result in undesirable network changes because various rouEPSS 0.4%CVE-2025-43856HIGHimmich allows account hijacking through oauth2EPSS 0.4%CVE-2026-33190HIGHCoreDNS TSIG authentication bypass on encrypted DNS transportsEPSS 0.4%CVE-2023-4860CRITICALInappropriate implementation in Skia in Google Chrome prior to 115.0.5790.98 allowed a remote attacker who had compromised the renderer procEPSS 0.4%CVE-2024-10214LOWIncorrect Session Creation with Desktop SSOEPSS 0.4%CVE-2025-43727HIGHDell PowerProtect Data Domain with Data Domain Operating System (DD OS) of Feature Release versions 7.7.1.0 through 8.1.0.10, LTS2024 releasEPSS 0.4%CVE-2025-53782HIGHMicrosoft Exchange Server Elevation of Privilege VulnerabilityEPSS 0.4%CVE-2024-8314MEDIUMImproper session handling in B&R APROLEPSS 0.4%CVE-2025-12419CRITICALAccount takeover on OAuth/OpenID-enabled serversEPSS 0.3%CVE-2025-12421CRITICALAccount Takeover via Code Exchange EndpointEPSS 0.3%