Fallos del tipo CWE-290

721 resultados

Autenticação inadequada sujeita a falsificação de identidade

Ocorre quando o mecanismo de autenticação é implementado de forma fraca ou incompleta, permitindo que um atacante se faça passar por outro usuário ou sistema sem precisar das credenciais legítimas. O risco é grave: qualquer um pode ganhar acesso não autorizado simplesmente contornando ou falsificando a identidade.

Ejemplo

Um app que autentica usuários apenas verificando um header HTTP customizado (tipo 'X-User-ID: 123') sem validação criptográfica real. Um atacante muda esse header para 'X-User-ID: admin' e consegue acesso à conta administrativa. Ou um serviço que aceita requisições apenas porque vêm de um IP específico, sem verificar certificados ou assinaturas.

Cómo mitigar

Use protocolos de autenticação estabelecidos (OAuth 2.0, JWT com assinatura, SAML) em vez de inventar o seu. Sempre valide credenciais no servidor com mecanismos criptográficos (hash, assinatura digital, certificados). Nunca confie em headers HTTP, IPs ou tokens não assinados como prova única de identidade.

CVE-2025-48027MEDIUMThe HttpAuth plugin in pGina.Fork through 3.9.9.12 allows authentication bypass when an adversary controls DNS resolution for pginaloginservEPSS 0.3%CVE-2024-39337MEDIUMClick Studios Passwordstate Core before 9.8 build 9858 allows Authentication Bypass.EPSS 0.3%CVE-2026-57210HIGHHeimdall: IP Spoofing via Unvalidated Forwarding HeadersEPSS 0.3%CVE-2026-35622MEDIUMOpenClaw < 2026.3.22 - Improper Authentication Verification in Google Chat WebhookEPSS 0.3%CVE-2026-31889HIGHShopware has a potential take over of app credentialsEPSS 0.3%CVE-2026-32492MEDIUMWordPress My Tickets plugin <= 2.1.1 - Bypass Vulnerability vulnerabilityEPSS 0.3%CVE-2026-13143MEDIUMWP Travel < 11.8.1 - Unauthenticated Payment Bypass via Forged PayPal IPNEPSS 0.3%CVE-2025-69203MEDIUMSignal K Server Vulnerable to Access Request SpoofingEPSS 0.3%CVE-2025-68644HIGHYealink RPS before 2025-06-27 allows unauthorized access to information, including AutoP URL addresses. This was fixed by deploying an enhanEPSS 0.3%CVE-2026-8963HIGHSpoofing issue in the Web Speech componentEPSS 0.3%CVE-2026-97146MEDIUMApache YuniKorn: Admission control bypass via system label forgeryEPSS 0.3%CVE-2026-72809HIGHSiYuan before v3.7.4 Authentication Bypass via Localhost TrustEPSS 0.3%CVE-2026-72816MEDIUMgo-chi chi before 5.3.0 IP Spoofing via RealIP MiddlewareEPSS 0.3%CVE-2026-0890MEDIUMSpoofing issue in the DOM: Copy & Paste and Drag & Drop componentEPSS 0.3%CVE-2026-54308MEDIUMn8n: Missing Token Validation on Microsoft Agent 365 Trigger NodeEPSS 0.3%CVE-2026-49446MEDIUMCosmos: Authentication bypass via forward-auth header smuggling on Constellation tunnel in Cosmos-ServerEPSS 0.3%CVE-2026-92546HIGHAuthentication Bypass with X-Agentic-Ally-Token in Keepnet Labs Agentic AI / Agentic AllyEPSS 0.3%CVE-2024-35749LOWWordPress Under Construction / Maintenance Mode from Acurax plugin <= 2.6 - IP Bypass vulnerabilityEPSS 0.3%CVE-2024-1524HIGHA local user can be impersonated when using federated authentication with Silent JIT Provisioning.EPSS 0.3%CVE-2026-88879MEDIUMTraefik before v2.11.56 Identity Spoofing via Header AliasEPSS 0.3%