Weaknesses of type CWE-645

7 results

Mecanismo de Bloqueio de Conta Excessivamente Restritivo

É quando a aplicação bloqueia uma conta de usuário de forma tão severa que fica praticamente impossível recuperá-la legitimamente, ou quando o bloqueio é permanente sem possibilidade de desbloqueio automático. Isso prejudica a disponibilidade do serviço e pode ser explorado para negar acesso a usuários válidos.

Example

Um sistema bloqueia a conta após 3 tentativas de login falhadas e nunca a desbloqueia automaticamente — nem por email de recuperação, nem após passado um tempo. Um atacante pode derrotar usuários legítimos bloqueando propositalmente suas contas com tentativas erradas.

How to mitigate

Implemente desbloqueio automático após período de tempo (ex: 15-30 minutos), ofereça fluxo de desbloqueio legítimo (email, pergunta de segurança), ou use abordagens mais sofisticadas como desafios CAPTCHA em vez de bloqueio permanente. Registre e monitore padrões anômalos de bloqueio para detectar ataques de negação de serviço.

CVE-2023-4346HIGH KNX devices that use KNX Connection Authorization and support Option 1 are, depending on the implementation, vulnerable to being locked andEPSS 0.9%KEV CVE-2024-1722LOWKeycloak-core: dos via account lockoutEPSS 0.8%CVE-2024-37028MEDIUMBIG-IP Next Central Manager vulnerabilityEPSS 0.4%CVE-2025-5241MEDIUMDenial-of-Service Vulnerability in MELSEC iQ-F SeriesEPSS 0.4%CVE-2026-53982HIGHCap-go Console < 12.28.2 Account Deletion DoS via Device Identifier AssociationEPSS 0.3%CVE-2025-31947MEDIUMRepeated LDAP login failures can lock an LDAP accountEPSS 0.3%CVE-2026-25907MEDIUMDell PowerScale OneFS, version 9.13.0.0, contains an overly restrictive account lockout mechanism vulnerability. An unauthenticated attackerEPSS 0.3%