Weaknesses of type CWE-307

545 results

Falta de Proteção contra Tentativas Excessivas de Autenticação

É a ausência de mecanismos que limitam o número de tentativas de login ou autenticação em um curto período. Um atacante pode fazer força bruta (testar muitas senhas ou códigos) sem ser bloqueado, permitindo descobrir credenciais válidas ou contornar fatores de autenticação como OTP.

Example

Um sistema de login não bloqueia a conta após 5 tentativas erradas nem implementa delay progressivo. Um atacante automático testa 10 mil combinações de senha em minutos contra um usuário-alvo e consegue acesso. Ou um atacante bruta-força códigos de 2FA sem que o sistema limite as tentativas.

How to mitigate

Implemente bloqueio ou throttling: limitar tentativas (ex: máx 5 por minuto), aumentar delay entre tentativas, bloquear conta temporariamente após falhas consecutivas, usar CAPTCHA após N tentativas, e registrar/alertar sobre picos de tentativas suspeitas.

CVE-2026-32825HIGHdataCycle No Brute-Force Protection On Web And API Login EndpointsEPSS 0.3%CVE-2025-10658MEDIUMSupportCandy – Helpdesk & Customer Support Ticket System <= 3.3.7 - Authentication Bypass to Support Session TakeoverEPSS 0.3%CVE-2026-53904MEDIUMAccount Denial of Service in MCOEPSS 0.3%CVE-2024-45327HIGHAn improper authorization vulnerability [CWE-285] in FortiSOAR version 7.4.0 through 7.4.3, 7.3.0 through 7.3.2, 7.2.0 through 7.2.2, 7.0.0 EPSS 0.3%CVE-2025-8679HIGHExtremeGuest Essentials Captive Portal Unauthenticated Brute ForceEPSS 0.3%CVE-2025-66482MEDIUMMisskey has a login rate limit bypass via spoofed X-Forwarded-For headerEPSS 0.3%CVE-2025-42615HIGHImproper Restriction of Excessive Authentication Attempts vulnerability in CIRCL Vulnerability-LookupEPSS 0.3%CVE-2025-22645MEDIUMWordPress Real Estate Manager plugin <= 7.3 - Captcha Bypass Vulnerability vulnerabilityEPSS 0.3%CVE-2026-40485MEDIUMChurchCRM: Username Enumeration via Differential Response in Public Login APIEPSS 0.3%CVE-2024-7292HIGHAccount Controller allows high count of login attemptsEPSS 0.3%CVE-2025-35041HIGHAirship AI Acropolis MFA insufficient rate limitingEPSS 0.3%CVE-2025-7882LOWMercusys MW301R Login excessive authenticationEPSS 0.3%CVE-2026-33763MEDIUMAVideo has an Unauthenticated Video Password Brute-Force Vulnerability via Unrate-Limited Boolean OracleEPSS 0.3%CVE-2026-122138MEDIUMBlueprintUE Self-Hosted Edition 4.2.0 before 4.3.4 Login Rate Limit BypassEPSS 0.3%CVE-2026-32025HIGHOpenClaw < 2026.2.25 - Password Brute-Force via Browser-Origin WebSocket Authentication BypassEPSS 0.3%CVE-2026-26227MEDIUMVLC for Android < 3.7.0 Remote Access OTP Authentication BypassEPSS 0.3%CVE-2026-113710MEDIUMApostropheCMS: No Attempt Throttling on Authenticated Password-Change Endpoint Enables Unlimited Current-Password GuessingEPSS 0.3%CVE-2026-111892MEDIUMphpMyFAQ 4.2.0-alpha before 4.2.0-beta Missing Rate Limiting on Password-Reset EndpointsEPSS 0.3%CVE-2026-41893HIGHSignal K Server's WebSocket Login Endpoint Lacks Rate Limiting (Credential Brute-Force)EPSS 0.3%CVE-2026-93346MEDIUMWazuh 4.0.0 before 4.14.8 API Brute-Force Protection Bypass via Race ConditionEPSS 0.3%