Weaknesses of type CWE-952

1 result

Autenticação ausente ou inadequada

A aplicação não implementa ou implementa de forma deficiente mecanismos de autenticação para verificar a identidade do usuário antes de permitir acesso a recursos ou operações sensíveis. Isso permite que atacantes acessem dados ou funcionalidades sem credenciais válidas, comprometendo confidencialidade e integridade.

Example

Uma API que retorna dados de conta bancária respondendo a requisições HTTP sem validar token de sessão ou credenciais — qualquer um pode fazer uma chamada GET e obter extratos alheios. Ou um painel administrativo acessível diretamente pela URL sem login.

How to mitigate

Implemente autenticação obrigatória em todos os endpoints e operações sensíveis (tokens JWT, sessões, OAuth 2.0). Valide identidade antes de processar qualquer requisição e use práticas como rate limiting, MFA e expiração de sessão para aumentar a robustez.

CVE-2019-18311—A vulnerability has been identified in SPPA-T3000 MS3000 Migration Server (All versions). An attacker with network access to the MS3000 ServEPSS 1.5%