Fallos del tipo CWE-290

607 resultados

Autenticação inadequada sujeita a falsificação de identidade

Ocorre quando o mecanismo de autenticação é implementado de forma fraca ou incompleta, permitindo que um atacante se faça passar por outro usuário ou sistema sem precisar das credenciais legítimas. O risco é grave: qualquer um pode ganhar acesso não autorizado simplesmente contornando ou falsificando a identidade.

Ejemplo

Um app que autentica usuários apenas verificando um header HTTP customizado (tipo 'X-User-ID: 123') sem validação criptográfica real. Um atacante muda esse header para 'X-User-ID: admin' e consegue acesso à conta administrativa. Ou um serviço que aceita requisições apenas porque vêm de um IP específico, sem verificar certificados ou assinaturas.

Cómo mitigar

Use protocolos de autenticação estabelecidos (OAuth 2.0, JWT com assinatura, SAML) em vez de inventar o seu. Sempre valide credenciais no servidor com mecanismos criptográficos (hash, assinatura digital, certificados). Nunca confie em headers HTTP, IPs ou tokens não assinados como prova única de identidade.

CVE-2023-47769LOWWordPress WP Maintenance plugin <= 6.1.3 - IP Filtering Bypass vulnerabilityEPSS 0.3%CVE-2023-49741LOWWordPress Coming soon and Maintenance mode plugin <= 3.7.3 - IP Filtering Bypass vulnerabilityEPSS 0.3%CVE-2024-45453LOWWordPress Maintenance Redirect plugin <= 2.0.1 - IP Bypass vulnerabilityEPSS 0.3%CVE-2026-52690MEDIUMSpoofed answers can mark an authoritative non-EDNS capableEPSS 0.3%CVE-2025-0442MEDIUMInappropriate implementation in Payments in Google Chrome prior to 132.0.6834.83 allowed a remote attacker who convinced a user to engage inEPSS 0.3%CVE-2025-2188HIGHWhitelist bypass Vulnerability in GameCenterEPSS 0.3%CVE-2025-50328HIGHA vulnerability in B1 Free Archiver v1.5.86 allows files extracted from downloaded archives to bypass Windows Mark of the Web (MotW) protectEPSS 0.3%CVE-2024-31802MEDIUMDESIGNA ABACUS v.18 and before allows an attacker to bypass the payment process via a crafted QR code.EPSS 0.3%CVE-2025-66570CRITICALcpp-httplib Untrusted HTTP Header Handling: Internal Header Shadowing (REMOTE*/LOCAL*)EPSS 0.3%CVE-2026-69183HIGHMonkeytype: Rate-limit and anti-brute-force controls bypassable via spoofed HTTP headers (forgotPasswordEmail/verificationEmail mail bombing and badAuth bypass)EPSS 0.3%CVE-2026-8644CRITICALIBM WebSphere Application Server is affected by an identity spoofing vulnerabilityEPSS 0.3%CVE-2026-7656HIGHBroken IPv6 Neighbor Discovery input validation allows spoofed RA/NS/NA acceptance in Zephyr net stackEPSS 0.3%CVE-2026-77089CRITICALCommand Center API Authentication BypassEPSS 0.3%CVE-2025-59699MEDIUMEntrust nShield Connect XC, nShield 5c, and nShield HSMi through 13.6.11, or 13.7 (patched in 13.6.12 (LTS) and 13.9.0 (STS)), allow a physiEPSS 0.3%CVE-2026-32666HIGHAutomated Logic WebCTRL Premium Server Authentication Bypass by SpoofingEPSS 0.3%CVE-2026-6213CRITICALRemote Spark SparkView RCEEPSS 0.3%CVE-2026-55641HIGH9router: Unauthenticated `/v1` proxy access via `Host`-header spoofing → open AI relay + SSRFEPSS 0.3%CVE-2024-10125MEDIUMLack of JWT issuer and signer validationEPSS 0.3%CVE-2026-8961MEDIUMSpoofing issue in the Form Autofill componentEPSS 0.3%CVE-2023-44117HIGHVulnerability of trust relationships being inaccurate in distributed scenarios. Successful exploitation of this vulnerability may affect serEPSS 0.3%