Fallos del tipo CWE-328

91 resultados

Uso de função hash fraca

A fraqueza ocorre quando o desenvolvedor escolhe um algoritmo hash (como MD5 ou SHA-1) que já foi criptanaliticamente quebrado ou deprecado para fins de segurança. Isso permite que um atacante inverta o hash, encontre colisões ou comprometaa integridade de dados sensíveis (senhas, tokens, assinaturas).

Ejemplo

Um sistema armazena senhas de usuários usando MD5 direto, sem salt. Um atacante que rouba o banco de dados pode usar tabelas pré-computadas (rainbow tables) para recuperar as senhas em minutos, pois MD5 é vulnerável a colisões e extremamente rápido de brutar.

Cómo mitigar

Use algoritmos modernos e lentos: bcrypt, scrypt, Argon2 para senhas; SHA-256, SHA-3 ou BLAKE2 para integridade de dados. Sempre combine com salt aleatório e, quando possível, aumente o fator de custo computacional para dificultar ataques por força bruta.

CVE-2024-56516MEDIUMfree-one-api uses md5 for password storageEPSS 0.3%CVE-2026-14738MEDIUMexo-explore exo Vision Feature Cache vision.py _image_cache_key weak hashEPSS 0.3%CVE-2026-13510MEDIUMSimStudioAI sim Password Protection deployment.ts weak hashEPSS 0.3%CVE-2024-8453MEDIUMPLANET Technology switch devices - Weak hash for users' passwordsEPSS 0.3%CVE-2025-49197MEDIUMDeprecated TLS version supportedEPSS 0.3%CVE-2025-14636MEDIUMTenda AX9 httpd image_check weak hashEPSS 0.3%CVE-2025-47276HIGHActualizer Uses OpenSSL's "-passwd" Function Which Uses SHA512 Under The Hood Instead of Proper Password Hasher like Yescript/Argon2iEPSS 0.3%CVE-2024-34914MEDIUMphp-censor v2.1.4 and fixed in v.2.1.5 was discovered to utilize a weak hashing algorithm for its remember_key value. This allows attackers EPSS 0.3%CVE-2026-13482MEDIUMskypilot-org skypilot User ID server.py username.encode weak hashEPSS 0.3%CVE-2023-5962MEDIUMioLogik E1200 Series: Weak Cryptographic Algorithm VulnerabilityEPSS 0.3%CVE-2026-46488CRITICALmotionEye: Authentication possible via password hashEPSS 0.3%CVE-2026-41879HIGHWeak password hashing in R-SOFT DMSEPSS 0.3%CVE-2026-21717MEDIUMA flaw in V8's string hashing mechanism causes integer-like strings to be hashed to their numeric value, making hash collisions trivially prEPSS 0.3%CVE-2019-13539HIGHMedtronic Valleylab FT10 and FX8 Reversible One-way HashEPSS 0.3%CVE-2025-0508MEDIUMMD5 Hash Collision in SageMaker Workflow in aws/sagemaker-python-sdkEPSS 0.3%CVE-2024-48847HIGHMD5 bypass operationEPSS 0.3%CVE-2025-21604MEDIUMLangChain4j-AIDeepin Using MD5 to Hash files may cause file upload conflictsEPSS 0.3%CVE-2025-31130MEDIUMgitoxide does not detect SHA-1 collision attacksEPSS 0.3%CVE-2020-37168CRITICALEcommerce Systempay 1.0 Production Key Brute ForceEPSS 0.2%CVE-2025-55053MEDIUMCWE-328: Use of Weak HashEPSS 0.2%