Falhas do tipo CWE-1392

135 resultados

Uso de Credenciais Padrão

A aplicação ou dispositivo é entregue com credenciais (usuário/senha, chaves de API, tokens) pré-configuradas que são públicas, documentadas ou fáceis de adivinhar. Um atacante que conhece essas credenciais padrão consegue acessar o sistema sem qualquer autenticação legítima, comprometendo confidencialidade, integridade e disponibilidade.

Exemplo

Um roteador, câmera IP ou painel administrativo de software vem com login 'admin/admin' ou 'root/12345'. Se o usuário não altera essas credenciais na primeira configuração, qualquer pessoa na rede (ou pela internet, se exposta) consegue entrar e modificar configurações críticas ou roubar dados.

Como mitigar

Force a alteração de credenciais padrão na primeira inicialização, bloqueando acesso até que o usuário defina uma senha forte única. Nunca distribua aplicações ou dispositivos com credenciais fixas codificadas; se necessário usar padrões temporários, expire-as em horas e registre tentativas de acesso com credenciais padrão.

CVE-2025-29629CRITICALGardyn Home Kit firmware before master.619, Home Kit Mobile Application before 2.11.0, and Home Kit Cloud API before 2.12.2026 use weak defaEPSS 0.5%CVE-2024-7746CRITICALUse of default credentials at Traccar fleet management solutionEPSS 0.5%CVE-2024-6535MEDIUMSkupper: potential authentication bypass to skupper console via forged cookiesEPSS 0.5%CVE-2025-7907MEDIUMyangzongzhuan RuoYi Druid application-druid.yml default credentialsEPSS 0.5%CVE-2026-27751CRITICALSODOLA SL902-SWTGW124AS <= 200.1.20 Use of Default CredentialsEPSS 0.5%CVE-2024-6788HIGHPhoenix Contact: update feature from CHARX controller can be used to reset a low privilege user passwordEPSS 0.5%CVE-2026-44761CRITICALInsecure Sample Credentials in SAP Commerce CloudEPSS 0.5%CVE-2025-51535CRITICALAustrian Archaeological Institute (AI) OpenAtlas v8.11.0 as discovered to contain a SQL injection vulnerability.EPSS 0.5%CVE-2026-111693CRITICALDataBuff ai-apm-web through 0.1.10 Hard-Coded Default Admin CredentialsEPSS 0.5%CVE-2026-76155CRITICALDatiphy Data Management Center - Use of Default CredentialsEPSS 0.5%CVE-2026-46386CRITICALOpenProject: Pre-authentication RCE in openproject/openproject Docker image via default `SECRET_KEY_BASE=OVERWRITE_ME` and `cookies_serializer = :marshal`EPSS 0.5%CVE-2024-4622HIGHalpitronic Hypercharger EV Charger Use of Default CredentialsEPSS 0.5%CVE-2026-44159CRITICALTyler Identity Local (TID-L) default administrative credentialsEPSS 0.5%CVE-2026-90498MEDIUMlenve vhr vhr.sql default credentialsEPSS 0.5%CVE-2024-28093HIGHThe TELNET service of AdTran NetVanta 3120 18.01.01.00.E devices is enabled by default, and has default credentials for a root-level accountEPSS 0.5%CVE-2026-22886CRITICALOpenMQ exposes a TCP-based management service (imqbrokerd) that by default requires authentication. However, the product ships with a defaulEPSS 0.5%CVE-2025-59108CRITICALWeak Default Passwords in dormakaba access managerEPSS 0.4%CVE-2024-12286CRITICALMOBATIME Network Master Clock has a use of default credentials vulnerabilityEPSS 0.4%CVE-2026-31837HIGHIstio JWKS resolver to prevent private key material from being exposed when JWKS fetch fails.EPSS 0.4%CVE-2026-42072CRITICALNornicdb: Improper Network Binding in NornicDB Bolt Server allows unauthorized remote accessEPSS 0.4%