Fallos del tipo CWE-290

721 resultados

Autenticação inadequada sujeita a falsificação de identidade

Ocorre quando o mecanismo de autenticação é implementado de forma fraca ou incompleta, permitindo que um atacante se faça passar por outro usuário ou sistema sem precisar das credenciais legítimas. O risco é grave: qualquer um pode ganhar acesso não autorizado simplesmente contornando ou falsificando a identidade.

Ejemplo

Um app que autentica usuários apenas verificando um header HTTP customizado (tipo 'X-User-ID: 123') sem validação criptográfica real. Um atacante muda esse header para 'X-User-ID: admin' e consegue acesso à conta administrativa. Ou um serviço que aceita requisições apenas porque vêm de um IP específico, sem verificar certificados ou assinaturas.

Cómo mitigar

Use protocolos de autenticação estabelecidos (OAuth 2.0, JWT com assinatura, SAML) em vez de inventar o seu. Sempre valide credenciais no servidor com mecanismos criptográficos (hash, assinatura digital, certificados). Nunca confie em headers HTTP, IPs ou tokens não assinados como prova única de identidade.

CVE-2026-81777MEDIUMWordPress Essential Addons for Elementor plugin <= 6.8.0 - Bypass vulnerability vulnerabilityEPSS 0.4%CVE-2026-33131HIGHh3 has a middleware bypass with one gadgetEPSS 0.4%CVE-2023-52176MEDIUMWordPress Malware Scanner plugin <= 4.7.1 - IP Restriction Bypass vulnerabilityEPSS 0.4%CVE-2026-101280MEDIUMTrusted Domain Project OpenDMARC Multi-Record Set opendmarc_policy_query_dmarc authentication spoofingEPSS 0.4%CVE-2023-40702HIGHPingOne MFA Integration Kit MFA bypassEPSS 0.4%CVE-2023-40356HIGHPingOne MFA Integration Kit MFA bypassEPSS 0.4%CVE-2026-104445HIGHYesWiki before 4.6.7 Authentication Bypass via ActivityPub Inbox Actor SpoofingEPSS 0.4%CVE-2025-3875HIGHSender Spoofing via Malformed From Header in ThunderbirdEPSS 0.4%CVE-2026-65570HIGHWordPress Login with phone number plugin <= 1.8.70 - Bypass vulnerability vulnerabilityEPSS 0.4%CVE-2026-82228HIGHWordPress SiteGround Security plugin <= 1.6.6 - 2FA Bypass vulnerabilityEPSS 0.4%CVE-2024-25906MEDIUMWordPress Comments Like Dislike plugin <= 1.2.2 - IP Restriction Bypass Vulnerability vulnerabilityEPSS 0.4%CVE-2023-51323MEDIUMA lack of rate limiting in the 'Forgot Password' feature of PHPJabbers Shared Asset Booking System v1.0 allows attackers to send an excessivEPSS 0.4%CVE-2025-23168MEDIUMThe Versa Director SD-WAN orchestration platform implements Two-Factor Authentication (2FA) using One-Time Passcodes (OTP) delivered via emaEPSS 0.4%CVE-2024-8901MEDIUMLack of JWT issuer and signer validationEPSS 0.4%CVE-2023-51321MEDIUMA lack of rate limiting in the 'Forgot Password' feature of PHPJabbers Night Club Booking Software v1.0 allows attackers to send an excessivEPSS 0.4%CVE-2024-30058MEDIUMMicrosoft Edge (Chromium-based) Spoofing VulnerabilityEPSS 0.4%CVE-2026-42674HIGHWordPress Advanced Access Manager plugin <= 7.1.0 - Bypass Vulnerability vulnerabilityEPSS 0.4%CVE-2026-94197HIGHNGINX Ingress Controller vulnerabilityEPSS 0.4%CVE-2026-6181MEDIUMThe Device Configuration Framework is vulnerable to an authentication bypass flaw. This flaw can only be exploited after authenticating withEPSS 0.4%CVE-2026-93582CRITICALAuthentication Bypass via Spoofed Remote-User Header in HTTP Basic AuthenticationEPSS 0.4%