Fallos del tipo CWE-307

484 resultados

Falta de limitação em tentativas de autenticação

É quando a aplicação não restringe adequadamente quantas vezes um atacante pode tentar adivinhar credenciais (senha, PIN, código MFA). Sem limite de tentativas ou delay entre elas, força bruta fica viável: o atacante testa combinações até encontrar a senha correta.

Ejemplo

Um formulário de login que aceita requisições ilimitadas sem rate limiting — alguém escreve um script que testa 10 mil senhas por segundo contra uma conta específica até acertar. Ou um endpoint de recuperação de senha que valida códigos sem contar quantas tentativas erradas já houve.

Cómo mitigar

Implemente rate limiting (máximo de tentativas por IP/usuário em janela de tempo), aumente delay exponencial entre tentativas falhadas, bloqueie a conta ou IP temporariamente após N falhas, e use CAPTCHA ou MFA para dificultar automação. Log de tentativas suspeitas é essencial para detecção.

CVE-2026-22629LOWAn improper restriction of excessive authentication attempts vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.6.4, FortiAnalyzer 7.4 EPSS 0.4%CVE-2025-46606MEDIUMDell PowerProtect Data Domain with Data Domain Operating System (DD OS) of Feature Release versions 8.4 through 8.5 contain an improper restEPSS 0.4%CVE-2025-49186MEDIUMNo brute-force protectionEPSS 0.4%CVE-2025-4383CRITICALAuthentication Bypass in Art-In Systems' Wi-Fi Cloud HotspotEPSS 0.4%CVE-2025-46739HIGHImproper Restriction of Excessive Authentication AttemptsEPSS 0.4%CVE-2026-11779MEDIUMPayloadCMS 3.84.1 - Authenticated account lockout bypass through default unlock accessEPSS 0.4%CVE-2025-1928CRITICALImproper Authentication in Restajet's Online Food Delivery SystemEPSS 0.4%CVE-2025-46414CRITICALEG4 Electronics EG4 Inverters Improper Restriction of Excessive Authentication AttemptsEPSS 0.4%CVE-2025-62257MEDIUMPassword enumeration vulnerability in Liferay Portal 7.4.0 through 7.4.3.119, and older unsupported versions, and Liferay DXP 2024.Q1.1 throEPSS 0.4%CVE-2024-28022MEDIUMA vulnerability exists in the UNEM server / APIGateway that if exploited allows a malicious user to perform an arbitrary number of authenticEPSS 0.4%CVE-2025-1714MEDIUMUsername Enumeration in GliffyEPSS 0.4%CVE-2026-34505MEDIUMOpenClaw < 2026.3.12 - Webhook Rate Limiting Bypass via Pre-Authentication Secret ValidationEPSS 0.4%CVE-2026-24696HIGHEveron api.everon.io Improper Restriction of Excessive Authentication AttemptsEPSS 0.4%CVE-2026-85734CRITICALLightRAG: No Rate Limiting on /login Endpoint Allows Brute-Force AttacksEPSS 0.4%CVE-2026-88770MEDIUMKeycloak-services: keycloak-services: device authorization grant issues tokens to brute-force-locked accountsEPSS 0.4%CVE-2026-30959MEDIUMOneUptime has WhatsApp Resend Verification Authorization BypassEPSS 0.4%CVE-2023-48745MEDIUMWordPress Captcha Code plugin <= 2.9 - Captcha Bypass vulnerabilityEPSS 0.4%CVE-2025-53544HIGHTrilium Notes is Vulnerable to Brute-force Protection Bypass via Initial Sync Seed RetrievalEPSS 0.4%CVE-2024-32720MEDIUMWordPress Appointment Hour Booking plugin <= 1.4.56 - Captcha Bypass vulnerabilityEPSS 0.4%CVE-2025-2414HIGHOTP Bypass in Akinsoft's OctoCloudEPSS 0.3%