Weaknesses of type CWE-620

109 results

Alteração de senha sem verificação

A aplicação permite que um usuário altere a senha de outro usuário (ou a sua própria) sem validar adequadamente a identidade ou solicitar a senha atual como comprovação. O atacante pode mudar credenciais sem autorização, tomando conta da conta ou bloqueando o proprietário legítimo.

Example

Um formulário de reset de senha que só pede o email, sem enviar token para confirmação, ou um endpoint de mudança de senha que não valida se o usuário autenticado é realmente o dono da conta sendo alterada. Um atacante consegue trocar a senha de qualquer usuário conhecendo apenas o ID ou email.

How to mitigate

Sempre exigir verificação de identidade antes de alterar senha: solicitar a senha atual, usar token de confirmação enviado por email/SMS, ou implementar autenticação multifator. Validar no backend que o usuário autenticado é o proprietário da conta cujos dados estão sendo modificados.

CVE-2026-24440HIGHTenda W30E V2 Allows Password Changes Without Verifying Current PasswordEPSS 0.3%CVE-2026-2543MEDIUMvichan-devel vichan Password Change pages.php unverified password changeEPSS 0.3%CVE-2026-42084HIGHOpenC3 COSMOS: Hijacked session token can be used to reset password for persistenceEPSS 0.3%CVE-2026-112002HIGHProjectSend 2.5.0 before 2.7.0 Unverified Password Change via /settings/passwordEPSS 0.3%CVE-2026-27757HIGHSODOLA SL902-SWTGW124AS <= 200.1.20 Unverified Password ChangeEPSS 0.3%CVE-2024-51493MEDIUMAPI key access in settings without reauthentication in OctoPrintEPSS 0.3%CVE-2026-44733MEDIUMOpenProject: Business Logic Error on OpenProject through PATCH request to /api/v3/users/me permits to bypass password requirementsEPSS 0.3%CVE-2025-47938LOWTYPO3 Vulnerable to Unverified Password Change for Backend UsersEPSS 0.3%CVE-2025-13148HIGHIBM Aspera Orchestrator Unverified Password ChangeEPSS 0.3%CVE-2024-45647MEDIUMIBM Security Verify Access unverified password changeEPSS 0.3%CVE-2026-40588HIGHblueprintUE: Authenticated Password Change Does Not Verify Current PasswordEPSS 0.3%CVE-2024-28143HIGHInsecure Password Change FunctionEPSS 0.3%CVE-2023-25931MEDIUMMedtronic Micro Clinician & InterStim X Clinician App Password Reset IssueEPSS 0.3%CVE-2025-46748LOWUnverified Password ChangeEPSS 0.3%CVE-2026-104106MEDIUMFileRise: 2FA disable and TOTP enrollment lack step-up re-authentication; enrollment activates before verificationEPSS 0.3%CVE-2013-20008HIGHLinksys WAG200G through 1.01.06 Admin Password Change Without Current PasswordEPSS 0.3%CVE-2025-46389MEDIUMCWE-620: Unverified Password ChangeEPSS 0.2%CVE-2024-2213LOWImproper Authentication in zenml-io/zenmlEPSS 0.2%CVE-2026-73292HIGHSemaphore UI: CSRF vulnerability on password change endpoint - No CSRF token or password confirmationEPSS 0.2%CVE-2025-59808MEDIUMAn unverified password change vulnerability [CWE-620] vulnerability in Fortinet FortiSOAR PaaS 7.6.0 through 7.6.2, FortiSOAR PaaS 7.5.0 thrEPSS 0.2%