Fallos del tipo CWE-307

545 resultados

Falta de limitação em tentativas de autenticação

É quando a aplicação não restringe adequadamente quantas vezes um atacante pode tentar adivinhar credenciais (senha, PIN, código MFA). Sem limite de tentativas ou delay entre elas, força bruta fica viável: o atacante testa combinações até encontrar a senha correta.

Ejemplo

Um formulário de login que aceita requisições ilimitadas sem rate limiting — alguém escreve um script que testa 10 mil senhas por segundo contra uma conta específica até acertar. Ou um endpoint de recuperação de senha que valida códigos sem contar quantas tentativas erradas já houve.

Cómo mitigar

Implemente rate limiting (máximo de tentativas por IP/usuário em janela de tempo), aumente delay exponencial entre tentativas falhadas, bloqueie a conta ou IP temporariamente após N falhas, e use CAPTCHA ou MFA para dificultar automação. Log de tentativas suspeitas é essencial para detecção.

CVE-2025-31991MEDIUMHCL DevOps Velocity is susceptible to brute-force attacksEPSS 0.2%CVE-2026-66987MEDIUMHCL AION is affected by multiple security vulnerabilities.EPSS 0.2%CVE-2022-33735MEDIUMThere is a password verification vulnerability in WS7200-10 11.0.2.13. Attackers on the LAN may use brute force cracking to obtain passwordsEPSS 0.2%CVE-2025-6030CRITICALAutoeastern Smart Keyless Entry System Replay AttackEPSS 0.2%CVE-2023-34732MEDIUMAn issue in the userId parameter in the change password function of Flytxt NEON-dX v0.0.1-SNAPSHOT-6.9-qa-2-9-g5502a0c allows attackers to eEPSS 0.2%CVE-2025-8118MEDIUMBruteforce Protection Bypass in PAD CMSEPSS 0.2%CVE-2026-58271MEDIUM@sync-in/server vulnerable to TOTP Brute-Force via `POST /api/app/sync/register`EPSS 0.2%CVE-2026-110861MEDIUMBetter Auth drizzle-adapter 1.6.17 before 1.7.7 Rate Limit Bypass via Race ConditionEPSS 0.2%CVE-2026-43926MEDIUMFOSSBilling's password reset confirmation endpoint lacks rate limitingEPSS 0.2%CVE-2026-108163MEDIUMPingvin Share X before 1.22.0 Ineffective Authentication Rate Limiting via Throttler TTLEPSS 0.2%CVE-2026-65825HIGHOpenReception: one tenant's throttle row disables the PIN brute-force throttle for the same identifier in other tenantsEPSS 0.2%CVE-2026-111501MEDIUMDell OpenManage Enterprise, versions prior to 4.8.0, contains an Improper Restriction of Excessive Authentication Attempts vulnerability. AnEPSS 0.2%CVE-2026-15586MEDIUMOTP Brute-Force Account Takeover in Idvlabs Software's OntimeEPSS 0.2%CVE-2026-7820MEDIUMpgAdmin 4: Account-lockout bypass via Flask-Security default /login viewEPSS 0.2%CVE-2026-26206MEDIUMWazuh: API brute-force protection bypass via race condition in login attempt trackingEPSS 0.2%CVE-2026-7255MEDIUM** UNSUPPORTED WHEN ASSIGNED ** An improper restriction of excessive authentication attempts vulnerability in the web management interface oEPSS 0.2%CVE-2022-26519MEDIUMInterlogix Hills ComNav Improper Restriction of Excessive Authentication AttemptsEPSS 0.2%CVE-2024-32771LOWQTS, QuTS heroEPSS 0.2%CVE-2026-41037HIGHMissing Rate Limiting Vulnerability in Quantum Networks Router QN-I-470EPSS 0.2%CVE-2025-14362HIGHGoAnywhere MFT SFTP Service Login Vulnerable to Brute Force Attack Under Certain CircumstancesEPSS 0.2%