Fallos del tipo CWE-290

721 resultados

Autenticação inadequada sujeita a falsificação de identidade

Ocorre quando o mecanismo de autenticação é implementado de forma fraca ou incompleta, permitindo que um atacante se faça passar por outro usuário ou sistema sem precisar das credenciais legítimas. O risco é grave: qualquer um pode ganhar acesso não autorizado simplesmente contornando ou falsificando a identidade.

Ejemplo

Um app que autentica usuários apenas verificando um header HTTP customizado (tipo 'X-User-ID: 123') sem validação criptográfica real. Um atacante muda esse header para 'X-User-ID: admin' e consegue acesso à conta administrativa. Ou um serviço que aceita requisições apenas porque vêm de um IP específico, sem verificar certificados ou assinaturas.

Cómo mitigar

Use protocolos de autenticação estabelecidos (OAuth 2.0, JWT com assinatura, SAML) em vez de inventar o seu. Sempre valide credenciais no servidor com mecanismos criptográficos (hash, assinatura digital, certificados). Nunca confie em headers HTTP, IPs ou tokens não assinados como prova única de identidade.

CVE-2025-24628MEDIUMWordPress reCaptcha by BestWebSoft Plugin <= 1.78 - Captcha Bypass vulnerabilityEPSS 0.4%CVE-2023-34157CRITICALVulnerability of HwWatchHealth being hijacked.Successful exploitation of this vulnerability may cause repeated pop-up windows of the app.EPSS 0.4%CVE-2026-19291HIGHBluetooth re-pairing can use a lower security level than previousEPSS 0.4%CVE-2026-17290HIGHMultiple Vulnerabilities in IBM API ConnectEPSS 0.4%CVE-2026-16101HIGHforced re-pairing with already bonded deviceEPSS 0.4%CVE-2023-48271MEDIUMWordPress Maspik – Spam Blacklist plugin <= 0.10.3 - IP Filtering Bypass vulnerabilityEPSS 0.4%CVE-2025-54288MEDIUMSource Container Identification Vulnerability via cmdline Spoofing in devLXD ServerEPSS 0.4%CVE-2026-18972CRITICALVelociraptor authenticated identity-spoofing vulnerabilityEPSS 0.4%CVE-2023-48753MEDIUMWordPress Restricted Site Access plugin <= 7.4.1 - IP Restriction Bypass vulnerabilityEPSS 0.4%CVE-2026-14840MEDIUMYOP Poll < 7.0.6 - Unauthenticated Vote Restriction Bypass via IP Header SpoofingEPSS 0.4%CVE-2026-2800CRITICALSpoofing issue in the WebAuthn component in Firefox for AndroidEPSS 0.3%CVE-2025-66570CRITICALcpp-httplib Untrusted HTTP Header Handling: Internal Header Shadowing (REMOTE*/LOCAL*)EPSS 0.3%CVE-2026-32666HIGHAutomated Logic WebCTRL Premium Server Authentication Bypass by SpoofingEPSS 0.3%CVE-2022-4098HIGHWiesemann & Theis: Multiple products prone to missing authentication through spoofingEPSS 0.3%CVE-2026-73840MEDIUMOpenChoreo: Unauthenticated build/workflow trigger via git-provider confusion (webhook signature bypass)EPSS 0.3%CVE-2026-64797HIGHJoomla Extension - regularlabs.com - IP spoofing vulnerability in IP login extensionEPSS 0.3%CVE-2025-46018MEDIUMCSC Pay Mobile App 2.19.4 (fixed in version 2.20.0) contains a vulnerability allowing users to bypass payment authorization by disabling BluEPSS 0.3%CVE-2025-2188HIGHWhitelist bypass Vulnerability in GameCenterEPSS 0.3%CVE-2026-45063CRITICALSymfony: Identity Spoofing via Unanchored DN Regex in X509AuthenticatorEPSS 0.3%CVE-2025-30052HIGHAuthentication Bypass via IP Spoofing in CGM CLININET rsyncdEPSS 0.3%