Fallos del tipo CWE-204

215 resultados

Vazamento de informações por resposta diferenciada

A aplicação entrega respostas distintas (tempo de processamento, mensagens de erro, status HTTP, conteúdo) dependendo de estados internos ou dados sensíveis, permitindo que um atacante deduza informações que deveria estar ocultas. Por exemplo, responder "usuário não encontrado" em vez de "senha incorreta" revela quais contas existem no sistema.

Ejemplo

Um serviço de autenticação retorna erro diferente se a senha está errada ("Acesso negado") versus se o e-mail não existe no banco ("E-mail não registrado"). Um atacante lista e-mails válidos simplesmente testando combinações. Ou um endpoint que demora 500ms para usuários autenticados mas 50ms para tokens inválidos, vazando informações via timing.

Cómo mitigar

Padronize todas as respostas de erro relevantes (mesmo mensagem, mesmo código HTTP, mesmo tempo de processamento). Use respostas genéricas ("Credenciais inválidas" em vez de especificar o motivo) e implemente rate limiting para dificultar enumeração. Valide que dados sensíveis nunca vazam em headers, timing ou logs públicos.

CVE-2026-23511MEDIUMZITADEL has a user enumeration vulnerability in Login UIsEPSS 0.4%CVE-2026-75575MEDIUMRocket.Chat Missing DDP Rate Limit on the sendForgotPasswordEmail Meteor MethodEPSS 0.4%CVE-2026-27480MEDIUMStatic Web Server: Timing-Based Username Enumeration in Basic AuthenticationEPSS 0.4%CVE-2026-14672MEDIUMPostgreSQL observable response discrepancy with non-default scram_iterations provides user existence oracleEPSS 0.4%CVE-2024-39912MEDIUMEnumeration of valid usernames in web-auth/webauthn-libEPSS 0.4%CVE-2025-46736MEDIUMUmbraco Makes User Enumeration Feasible Based on Timing of Login ResponseEPSS 0.4%CVE-2026-25509MEDIUMCI4MS Vulnerable to User Email Enumeration via Password Reset FlowEPSS 0.4%CVE-2025-69413MEDIUMIn Gitea before 1.25.2, /api/v1/user has different responses for failed authentication depending on whether a username exists.EPSS 0.4%CVE-2024-34336MEDIUMUser enumeration vulnerability in ORDAT FOSS-Online before v2.24.01 allows attackers to determine if an account exists in the application byEPSS 0.4%CVE-2024-35114MEDIUMIBM Control Center information disclosureEPSS 0.4%CVE-2024-33856MEDIUMAn issue was discovered in Logpoint before 7.4.0. An attacker can enumerate a valid list of usernames by observing the response time at the EPSS 0.4%CVE-2026-111235CRITICALOpenNMS REST authorization bypass via non-canonical HTTP methodEPSS 0.4%CVE-2026-25138MEDIUMRucio WebUI has Username Enumeration via Login Error MessageEPSS 0.4%CVE-2025-61789MEDIUMIcinga DB Web hidden/protected custom variables are prone to filter enumerationEPSS 0.4%CVE-2026-4113HIGHAn observable response discrepancy vulnerability in the SonicWall SMA1000 series appliances allows a remote attacker to enumerate SSL VPN usEPSS 0.4%CVE-2025-65899MEDIUMKalmia CMS version 0.2.0 contains a user enumeration vulnerability in its authentication mechanism. The application returns different error EPSS 0.4%CVE-2025-58586MEDIUMUser Enumeration by excessive error outputEPSS 0.4%CVE-2026-119700MEDIUMWPGraphQL before 2.24.2 Object Existence Disclosure via Media and Comment MutationsEPSS 0.4%CVE-2023-33859MEDIUMIBM Security ReaQta information disclosureEPSS 0.4%CVE-2026-53908MEDIUMUser Enumeration in MCOEPSS 0.4%