Weaknesses of type CWE-916

98 results

Hash de senha com esforço computacional insuficiente

Ocorre quando uma aplicação usa funções de hash criptográfico rápidas (como MD5, SHA-1 ou até SHA-256 simples) para armazenar senhas, sem mecanismos de desaceleração. Isso permite que um atacante que roube o banco de dados execute ataques de força bruta ou dicionário em velocidade muito alta, quebrando senhas em minutos ou horas.

Example

Um sistema salva senhas como SHA-256(senha) direto no banco de dados. Um atacante rouba o dump e, com uma GPU moderna, testa bilhões de combinações por segundo, recuperando a senha original em tempo viável. Se tivesse usado bcrypt ou PBKDF2 com iterações altas, o mesmo ataque demoraria séculos.

How to mitigate

Use funções de hash de propósito criptográfico com fator de trabalho elevado: bcrypt (com custo ≥12), scrypt, PBKDF2 (≥600.000 iterações conforme NIST 2023) ou Argon2. Nunca use MD5, SHA-1 ou SHA-256 puro para senhas. Valide e atualize hashes legados migrandoos gradualmente.

CVE-2025-41692MEDIUMWeak/Predictable root PasswordEPSS 0.3%CVE-2026-110104HIGHnovel through 3.5.0 Unsalted MD5 Password StorageEPSS 0.3%CVE-2026-57310MEDIUMWeak password hashing in Windu CMSEPSS 0.3%CVE-2024-2365LOWMusicshelf SHA-1 PinningTrustManager.java weak password hashEPSS 0.3%CVE-2026-62376HIGHVikunja: Plaintext storage of password-reset/email-confirm tokens in database enables account takeover on DB read accessEPSS 0.3%CVE-2026-81689HIGHopenssl_encrypt before 1.4.9 Weak Pepper Key DerivationEPSS 0.3%CVE-2026-81704HIGHopenssl_encrypt before 1.4.9 Weak Key Derivation via D-BusEPSS 0.3%CVE-2024-29886MEDIUMImproved security for stored password hashesEPSS 0.3%CVE-2026-94206MEDIUMCloak PBKDF2 field ignores the configured iteration count and runs only :size roundsEPSS 0.2%CVE-2026-55069HIGHKestra BasicAuth Password Stored as SHA-512 Enables Offline Brute-Force AttackEPSS 0.2%CVE-2018-13811—A vulnerability has been identified in SIMATIC STEP 7 (TIA Portal) (All Versions < V15.1). Password hashes with insufficient computational eEPSS 0.2%CVE-2026-40522HIGHFrontAccounting < 2.4.20 SQL Injection via rep601.phpEPSS 0.2%CVE-2026-19126MEDIUMMultiple Vulnerabilities in IBM API ConnectEPSS 0.2%CVE-2026-9641MEDIUMCrypt::PBKDF2 versions before 0.261630 for Perl have a weak default algorithm and number of iterationsEPSS 0.2%CVE-2026-111330HIGHJuggleIM im-server through 1.8.16 Weak Password Hashing via Unsalted SHA-1EPSS 0.2%CVE-2024-24553MEDIUMBludit uses SHA1 as Password Hashing AlgorithmEPSS 0.2%CVE-2026-116054LOWSH3 Módulo de Gestão/Módulo de Arrecadação weak password hashEPSS 0.2%CVE-2025-30049HIGHUse of Unsalted MD5 Password Hashes in CGM CLININETEPSS 0.2%CVE-2024-7701MEDIUMMisuse of SHA256 to create an encryption keyEPSS 0.2%CVE-2026-112026MEDIUMlight0011 cms UserModel.class.php sha1 weak password hashEPSS 0.2%