Fallos del tipo CWE-307

484 resultados

Falta de limitação em tentativas de autenticação

É quando a aplicação não restringe adequadamente quantas vezes um atacante pode tentar adivinhar credenciais (senha, PIN, código MFA). Sem limite de tentativas ou delay entre elas, força bruta fica viável: o atacante testa combinações até encontrar a senha correta.

Ejemplo

Um formulário de login que aceita requisições ilimitadas sem rate limiting — alguém escreve um script que testa 10 mil senhas por segundo contra uma conta específica até acertar. Ou um endpoint de recuperação de senha que valida códigos sem contar quantas tentativas erradas já houve.

Cómo mitigar

Implemente rate limiting (máximo de tentativas por IP/usuário em janela de tempo), aumente delay exponencial entre tentativas falhadas, bloqueie a conta ou IP temporariamente após N falhas, e use CAPTCHA ou MFA para dificultar automação. Log de tentativas suspeitas é essencial para detecção.

CVE-2025-2416HIGHOTP Bypass in Akinsoft's LimonDeskEPSS 0.3%CVE-2025-2413HIGHOTP Bypass in Akinsoft's ProKuaforEPSS 0.3%CVE-2025-2414HIGHOTP Bypass in Akinsoft's OctoCloudEPSS 0.3%CVE-2025-2415HIGHOTP Bypass in Akinsoft's MyRezztaEPSS 0.3%CVE-2026-41213MEDIUM@node-oauth/oauth2-server: PKCE code_verifier ABNF not enforced in token exchange allows brute-force redemption of intercepted authorization codesEPSS 0.3%CVE-2021-27782MEDIUMHCL BigFix Mobile / Modern Client Management Server passwords are susceptible to a brute-force attackEPSS 0.3%CVE-2026-43926MEDIUMFOSSBilling's password reset confirmation endpoint lacks rate limitingEPSS 0.3%CVE-2026-82643MEDIUMWWBN AVideo Unauthenticated Rate Limit Bypass via preauthorize.json.phpEPSS 0.3%CVE-2025-64102HIGHZitadel allows brute-forcing authentication factorsEPSS 0.3%CVE-2026-32825HIGHdataCycle No Brute-Force Protection On Web And API Login EndpointsEPSS 0.3%CVE-2026-53904MEDIUMAccount Denial of Service in MCOEPSS 0.3%CVE-2025-1496MEDIUMImproper Authentication in BG-TEK's Coslat HotspotEPSS 0.3%CVE-2024-45327HIGHAn improper authorization vulnerability [CWE-285] in FortiSOAR version 7.4.0 through 7.4.3, 7.3.0 through 7.3.2, 7.2.0 through 7.2.2, 7.0.0 EPSS 0.3%CVE-2024-49342HIGHIBM Informix Dynamic Server information disclosureEPSS 0.3%CVE-2025-66482MEDIUMMisskey has a login rate limit bypass via spoofed X-Forwarded-For headerEPSS 0.3%CVE-2025-8679HIGHExtremeGuest Essentials Captive Portal Unauthenticated Brute ForceEPSS 0.3%CVE-2025-10658MEDIUMSupportCandy – Helpdesk & Customer Support Ticket System <= 3.3.7 - Authentication Bypass to Support Session TakeoverEPSS 0.3%CVE-2025-26862NONEPingFederate unexpected browser flow initiation in redirectless modeEPSS 0.3%CVE-2025-22645MEDIUMWordPress Real Estate Manager plugin <= 7.3 - Captcha Bypass Vulnerability vulnerabilityEPSS 0.3%CVE-2024-7292HIGHAccount Controller allows high count of login attemptsEPSS 0.3%