Weaknesses of type CWE-307

545 results

Falta de Proteção contra Tentativas Excessivas de Autenticação

É a ausência de mecanismos que limitam o número de tentativas de login ou autenticação em um curto período. Um atacante pode fazer força bruta (testar muitas senhas ou códigos) sem ser bloqueado, permitindo descobrir credenciais válidas ou contornar fatores de autenticação como OTP.

Example

Um sistema de login não bloqueia a conta após 5 tentativas erradas nem implementa delay progressivo. Um atacante automático testa 10 mil combinações de senha em minutos contra um usuário-alvo e consegue acesso. Ou um atacante bruta-força códigos de 2FA sem que o sistema limite as tentativas.

How to mitigate

Implemente bloqueio ou throttling: limitar tentativas (ex: máx 5 por minuto), aumentar delay entre tentativas, bloquear conta temporariamente após falhas consecutivas, usar CAPTCHA após N tentativas, e registrar/alertar sobre picos de tentativas suspeitas.

CVE-2022-43377HIGH A CWE-307: Improper Restriction of Excessive Authentication Attempts vulnerability exists that could cause account takeover when a brutEPSS 0.6%CVE-2023-29005HIGHNo Rate Limiting on Login AUTH DBEPSS 0.6%CVE-2026-19895MEDIUMopensourcepos Open Source Point of Sale Login Endpoint Filters.php index excessive authenticationEPSS 0.6%CVE-2022-2457MEDIUMA flaw was found in Red Hat Process Automation Manager 7 where an attacker can benefit from a brute force attack against Administration ConsEPSS 0.6%CVE-2023-1665HIGHImproper Restriction of Excessive Authentication Attempts in linagora/twakeEPSS 0.6%CVE-2026-65948HIGHApache Ranger: UnixAuth lacks brute-force protectionEPSS 0.6%CVE-2023-5754CRITICALImproper Restriction of Excessive Authentication Attempts in Sielco PolyEco1000EPSS 0.6%CVE-2023-1539MEDIUMImproper Restriction of Excessive Authentication Attempts in answerdev/answerEPSS 0.6%CVE-2023-50123HIGHThe number of attempts to bring the Hozard Alarm system (alarmsystemen) v1.0 to a disarmed state is not limited. This could allow an attackeEPSS 0.6%CVE-2025-54833MEDIUMOPEXUS FOIAXpress Public Access Link (PAL) account-lockout and CAPTCHA protection bypassEPSS 0.6%CVE-2026-85734CRITICALLightRAG: No Rate Limiting on /login Endpoint Allows Brute-Force AttacksEPSS 0.6%CVE-2026-19297CRITICALInsufficient Authentication Brute Force Protection on Login EndpointEPSS 0.6%CVE-2024-39917HIGHxrdp allows an ininite number of login attemptsEPSS 0.6%CVE-2025-11441MEDIUMJhumanJ OpnForm HTTP Header excessive authenticationEPSS 0.6%CVE-2025-27449HIGHCVE-2025-27449EPSS 0.6%CVE-2023-25818MEDIUMMissing brute force protection on password reset token in Nextcloud ServerEPSS 0.6%CVE-2025-27456HIGHCVE-2025-27456EPSS 0.6%CVE-2025-1710HIGHCVE-2025-1710EPSS 0.6%CVE-2026-77561MEDIUMTinyauth: Unauthenticated login attempts can trigger global login lockdown denial of serviceEPSS 0.6%CVE-2023-2675MEDIUMImproper Restriction of Excessive Authentication Attempts in linagora/twakeEPSS 0.6%