Fallos del tipo CWE-307

488 resultados

Falta de limitação em tentativas de autenticação

É quando a aplicação não restringe adequadamente quantas vezes um atacante pode tentar adivinhar credenciais (senha, PIN, código MFA). Sem limite de tentativas ou delay entre elas, força bruta fica viável: o atacante testa combinações até encontrar a senha correta.

Ejemplo

Um formulário de login que aceita requisições ilimitadas sem rate limiting — alguém escreve um script que testa 10 mil senhas por segundo contra uma conta específica até acertar. Ou um endpoint de recuperação de senha que valida códigos sem contar quantas tentativas erradas já houve.

Cómo mitigar

Implemente rate limiting (máximo de tentativas por IP/usuário em janela de tempo), aumente delay exponencial entre tentativas falhadas, bloqueie a conta ou IP temporariamente após N falhas, e use CAPTCHA ou MFA para dificultar automação. Log de tentativas suspeitas é essencial para detecção.

CVE-2026-55977LOWBypass of application rate-limiting mechanismEPSS 0.1%CVE-2025-54860MEDIUMCognex In-Sight Explorer and In-Sight Camera Firmware Improper Restriction of Excessive Authentication AttemptsEPSS 0.1%CVE-2025-12896MEDIUMImproper resource management in firmware of some Solidigm DC Products may allow an attacker with local or physical access to gain un-authoriEPSS 0.1%CVE-2026-16675HIGHRockwell Automation FactoryTalk® Activation Manager - Privilege EscalationEPSS 0.1%CVE-2026-20514MEDIUMIn Audio HAL, there is a possible information disclosure due to a missing permission check. This could lead to local information disclosure EPSS 0.1%CVE-2026-20512MEDIUMIn Audio HAL, there is a possible escalation of privilege due to improper input validation. This could lead to local escalation of privilegeEPSS 0.1%CVE-2022-25820MEDIUMA vulnerable design in fingerprint matching algorithm prior to SMR Mar-2022 Release 1 allows physical attackers to perform brute force attacEPSS 0.1%CVE-2026-100678HIGHstoatchat before 0.15.5 MFA Brute Force via Insufficient Rate LimitingEPSS —