Weaknesses of type CWE-307

545 results

Falta de Proteção contra Tentativas Excessivas de Autenticação

É a ausência de mecanismos que limitam o número de tentativas de login ou autenticação em um curto período. Um atacante pode fazer força bruta (testar muitas senhas ou códigos) sem ser bloqueado, permitindo descobrir credenciais válidas ou contornar fatores de autenticação como OTP.

Example

Um sistema de login não bloqueia a conta após 5 tentativas erradas nem implementa delay progressivo. Um atacante automático testa 10 mil combinações de senha em minutos contra um usuário-alvo e consegue acesso. Ou um atacante bruta-força códigos de 2FA sem que o sistema limite as tentativas.

How to mitigate

Implemente bloqueio ou throttling: limitar tentativas (ex: máx 5 por minuto), aumentar delay entre tentativas, bloquear conta temporariamente após falhas consecutivas, usar CAPTCHA após N tentativas, e registrar/alertar sobre picos de tentativas suspeitas.

CVE-2026-27753MEDIUMSODOLA SL902-SWTGW124AS <= 200.1.20 Improper Login Rate LimitingEPSS 0.4%CVE-2025-1928CRITICALImproper Authentication in Restajet's Online Food Delivery SystemEPSS 0.4%CVE-2026-49470HIGHGLPI: Missing Rate Limiting on Login and TOTP Verification — Account Takeover via Brute ForceEPSS 0.4%CVE-2024-28022MEDIUMA vulnerability exists in the UNEM server / APIGateway that if exploited allows a malicious user to perform an arbitrary number of authenticEPSS 0.4%CVE-2025-12995HIGHMedtronic CareLink Network allows an unauthenticated remote attacker to perform a brute force attack on an API endpoint that could be used tEPSS 0.4%CVE-2021-27782MEDIUMHCL BigFix Mobile / Modern Client Management Server passwords are susceptible to a brute-force attackEPSS 0.4%CVE-2026-18260MEDIUMDisable Login Page - Moderately critical - Access bypass - SA-CONTRIB-2026-110EPSS 0.4%CVE-2026-102825LOWRussh: Configured server auth-attempt cap is not enforced in the USERAUTH_REQUEST runtime pathEPSS 0.4%CVE-2023-48745MEDIUMWordPress Captcha Code plugin <= 2.9 - Captcha Bypass vulnerabilityEPSS 0.4%CVE-2024-32720MEDIUMWordPress Appointment Hour Booking plugin <= 1.4.56 - Captcha Bypass vulnerabilityEPSS 0.4%CVE-2026-31851HIGHNexxt Nebula 300+ - Lack of Rate Limiting Enables Brute-Force AttacksEPSS 0.3%CVE-2026-36959HIGHU-SPEED N300 router V1.0.0 does not implement rate limiting or account lockout protections on the /api/login endpoint. This allows an attackEPSS 0.3%CVE-2025-2415HIGHOTP Bypass in Akinsoft's MyRezztaEPSS 0.3%CVE-2026-6853CRITICALOTP Bypass in Başbelen Group's Pause+ Mobile AppEPSS 0.3%CVE-2025-2416HIGHOTP Bypass in Akinsoft's LimonDeskEPSS 0.3%CVE-2025-2413HIGHOTP Bypass in Akinsoft's ProKuaforEPSS 0.3%CVE-2025-2414HIGHOTP Bypass in Akinsoft's OctoCloudEPSS 0.3%CVE-2025-2412HIGHOTP Bypass in Akinsoft's QR MenuEPSS 0.3%CVE-2026-82643MEDIUMWWBN AVideo Unauthenticated Rate Limit Bypass via preauthorize.json.phpEPSS 0.3%CVE-2025-1496MEDIUMImproper Authentication in BG-TEK's Coslat HotspotEPSS 0.3%