Fallos del tipo CWE-204

215 resultados

Vazamento de informações por resposta diferenciada

A aplicação entrega respostas distintas (tempo de processamento, mensagens de erro, status HTTP, conteúdo) dependendo de estados internos ou dados sensíveis, permitindo que um atacante deduza informações que deveria estar ocultas. Por exemplo, responder "usuário não encontrado" em vez de "senha incorreta" revela quais contas existem no sistema.

Ejemplo

Um serviço de autenticação retorna erro diferente se a senha está errada ("Acesso negado") versus se o e-mail não existe no banco ("E-mail não registrado"). Um atacante lista e-mails válidos simplesmente testando combinações. Ou um endpoint que demora 500ms para usuários autenticados mas 50ms para tokens inválidos, vazando informações via timing.

Cómo mitigar

Padronize todas as respostas de erro relevantes (mesmo mensagem, mesmo código HTTP, mesmo tempo de processamento). Use respostas genéricas ("Credenciais inválidas" em vez de especificar o motivo) e implemente rate limiting para dificultar enumeração. Valide que dados sensíveis nunca vazam em headers, timing ou logs públicos.

CVE-2023-49069MEDIUMA vulnerability has been identified in Mendix Runtime V10 (All versions < V10.17.0 only if the basic authentication mechanism is used by theEPSS 0.4%CVE-2026-73306MEDIUMBudibase: Account Enumeration via Login Lockout Response DifferentialEPSS 0.4%CVE-2026-89173MEDIUMKingdom Communication Associated｜Smart Video Intercom System - Sensitive Data ExposureEPSS 0.4%CVE-2026-61503MEDIUMRejetto HFS < 3.2.1 Username Enumeration via Login Response DifferencesEPSS 0.4%CVE-2018-25350CRITICALuserSpice 4.3.24 Username Enumeration via existingUsernameCheck.phpEPSS 0.4%CVE-2026-27462HIGHCombodo iTop: User enumeration via password resetEPSS 0.4%CVE-2025-5485HIGHSinoTrack GPS Receiver Weak AuthenticationEPSS 0.4%CVE-2025-27451MEDIUMCVE-2025-27451EPSS 0.4%CVE-2024-8651MEDIUMNetcat CMS: user enumerationEPSS 0.4%CVE-2026-72588MEDIUMbluewave-labs Checkmate - User Enumeration via Differential HTTP Response in Password RecoveryEPSS 0.4%CVE-2026-42218MEDIUMXRDP is vulnerable to a server timing attack, leading to user enumerationEPSS 0.4%CVE-2026-19205HIGHUser Enumeration in GastroMenum's GastroMenum Web PanelEPSS 0.4%CVE-2026-19080HIGHUsername Enumeration in Menulux Software's Menulux PortalEPSS 0.4%CVE-2025-9109MEDIUMPortabilis i-Diario Password Recovery Endpoint email observable response discrepancyEPSS 0.4%CVE-2025-61907HIGHIcinga 2 API users could access restricted values in filter expressionsEPSS 0.4%CVE-2026-86758HIGHSnipe-IT before 8.7.0 License Key Exposure via CSV ExportEPSS 0.4%CVE-2024-38322MEDIUMIBM Storage Defender information disclosureEPSS 0.4%CVE-2025-49187MEDIUMUser enumerationEPSS 0.4%CVE-2025-30150MEDIUMShopware 6 allows attackers to check for registered accounts through the store-apiEPSS 0.4%CVE-2025-2910MEDIUMUser enumeration vulnerability in MeetMe productsEPSS 0.4%