Weaknesses of type CWE-307

484 results

Falta de Proteção contra Tentativas Excessivas de Autenticação

É a ausência de mecanismos que limitam o número de tentativas de login ou autenticação em um curto período. Um atacante pode fazer força bruta (testar muitas senhas ou códigos) sem ser bloqueado, permitindo descobrir credenciais válidas ou contornar fatores de autenticação como OTP.

Example

Um sistema de login não bloqueia a conta após 5 tentativas erradas nem implementa delay progressivo. Um atacante automático testa 10 mil combinações de senha em minutos contra um usuário-alvo e consegue acesso. Ou um atacante bruta-força códigos de 2FA sem que o sistema limite as tentativas.

How to mitigate

Implemente bloqueio ou throttling: limitar tentativas (ex: máx 5 por minuto), aumentar delay entre tentativas, bloquear conta temporariamente após falhas consecutivas, usar CAPTCHA após N tentativas, e registrar/alertar sobre picos de tentativas suspeitas.

CVE-2026-31851HIGHNexxt Nebula 300+ - Lack of Rate Limiting Enables Brute-Force AttacksEPSS 0.3%CVE-2026-76213CRITICALphpMyFAQ before 4.1.7 2FA Brute-Force via Session-Scoped ThrottleEPSS 0.3%CVE-2026-69183HIGHMonkeytype: Rate-limit and anti-brute-force controls bypassable via spoofed HTTP headers (forgotPasswordEmail/verificationEmail mail bombing and badAuth bypass)EPSS 0.3%CVE-2025-6015MEDIUMVault Login MFA Bypass of Rate Limiting and TOTP Code ReuseEPSS 0.3%CVE-2026-27753MEDIUMSODOLA SL902-SWTGW124AS <= 200.1.20 Improper Login Rate LimitingEPSS 0.3%CVE-2026-41893HIGHSignal K Server's WebSocket Login Endpoint Lacks Rate Limiting (Credential Brute-Force)EPSS 0.3%CVE-2025-35041HIGHAirship AI Acropolis MFA insufficient rate limitingEPSS 0.3%CVE-2026-35675HIGHphpMyFAQ - Authentication Bypass via Missing Password Reset Token in /api/user/password/updateEPSS 0.3%CVE-2026-78617MEDIUMWatchGuard Dimension Web UI Authentication Brute-Force Due to Missing Rate LimitingEPSS 0.3%CVE-2026-71213CRITICALtypemill - No Rate Limiting on Login Endpoint Enables Unlimited Password Brute-ForceEPSS 0.3%CVE-2024-38488MEDIUMDell RecoverPoint for Virtual Machines 6.0.x contains a vulnerability. An improper Restriction of Excessive Authentication vulnerability wheEPSS 0.3%CVE-2026-33763MEDIUMAVideo has an Unauthenticated Video Password Brute-Force Vulnerability via Unrate-Limited Boolean OracleEPSS 0.3%CVE-2024-51720MEDIUMVulnerabilities in SecuSUITE Server Components Impact SecuSUITEEPSS 0.3%CVE-2026-22616MEDIUMEaton Intelligent Power Protector (IPP) software allows repeated authentication attempts against the web interface login page due to insuffiEPSS 0.3%CVE-2026-44195MEDIUMOPNsense: Authentication lockout bypassEPSS 0.3%CVE-2026-47380MEDIUMNocoDB: User Enumeration via Sign-In TimingEPSS 0.3%CVE-2023-48318MEDIUMWordPress Contact Form Email plugin <= 1.3.41 - Captcha Bypass vulnerabilityEPSS 0.3%CVE-2026-32025HIGHOpenClaw < 2026.2.25 - Password Brute-Force via Browser-Origin WebSocket Authentication BypassEPSS 0.3%CVE-2026-13348MEDIUMCWE-307: Improper Restriction of Excessive Authentication Attempts vulnerability exists that could allow an attacker to gain unauthorized acEPSS 0.3%CVE-2025-2911MEDIUMImproper Restriction of Excessive Authentication Attempts vulnerability in MeetMe productsEPSS 0.3%