Falhas do tipo CWE-204

210 resultados

Vazamento de informações por respostas diferenciadas

A aplicação retorna respostas diferentes (tempo de resposta, mensagens de erro, códigos HTTP, comportamento) para requisições distintas, permitindo que um atacante deduza informações internas (existência de usuários, estrutura do sistema, dados sensíveis) sem ter acesso autorizado. O risco está em cada diferença na resposta servir como pista que reduz o espaço de busca do ataque.

Exemplo

Um endpoint de login retorna 'usuário não encontrado' para emails inexistentes, mas 'senha incorreta' para emails válidos. Um atacante usa isso para enumerar contas ativas no sistema. Ou um sistema que demora 200ms para validar senhas corretas e 50ms para incorretas, permitindo adivinhação via timing.

Como mitigar

Padronize respostas para casos de erro (mesmo tempo, mesma mensagem genérica) e implemente rate limiting em operações sensíveis. Use bcrypt com custo fixo para autenticação e evite diferenciar comportamento baseado em dados internos não-públicos.

CVE-2025-13460MEDIUMIBM Aspera Console Information DisclosureEPSS 0.3%CVE-2026-24097MEDIUMAuthenticated Host Enumeration via Observable Response Discrepancy on Agent Register Existing EndpointEPSS 0.3%CVE-2026-31901MEDIUMParse Server has user enumeration via email verification endpointEPSS 0.3%CVE-2026-15747CRITICALMojolicious versions from 4.59 before 9.48 for Perl expose a stable representation of the session CSRF token to a BREACH compression oracleEPSS 0.3%CVE-2026-109206MEDIUMLogicalDOC Community Edition through 9.3 Username Enumeration via AvatarServletEPSS 0.2%CVE-2026-82043MEDIUMUTMStack < 11.2.16 Account Enumeration via Password Reset EndpointEPSS 0.2%CVE-2026-14177HIGHUser Enumeration via Password Reset in IKAS Technology Inc.'s ikas E-Commerce InfrastructureEPSS 0.2%CVE-2026-39851MEDIUMSaleor has a user enumeration vulnerability due to different error messagesEPSS 0.2%CVE-2026-86778MEDIUMUsername Enumeration in Maksisoft Technology's Maksisoft GymEPSS 0.2%CVE-2026-102587LOWMoodle: user list filters bypass profile field visibilityEPSS 0.2%CVE-2026-49442MEDIUMCacti: User Enumeration via Error MessagesEPSS 0.2%CVE-2024-7478MEDIUMUsername Enumeration via External User Stores in Multiple WSO2 Products Allows User Account DiscoveryEPSS 0.2%CVE-2026-31888MEDIUMShopware has user enumeration via distinct error codes on Store API login endpointEPSS 0.2%CVE-2025-67500LOWMastodon Error Handling Discrepancy Enables Private Status Existence EnumerationEPSS 0.2%CVE-2026-30876MEDIUMChamilo LMS: User enumeration vulnerability via responseEPSS 0.2%CVE-2026-43926MEDIUMFOSSBilling's password reset confirmation endpoint lacks rate limitingEPSS 0.2%CVE-2026-45294MEDIUMFreeScout: User Account Enumeration via Password Reset Response DifferentiationEPSS 0.2%CVE-2026-111386MEDIUMNezha 1.7.0 before 2.3.15 Cross-Tenant Server-ID Enumeration via getServerConfigEPSS 0.2%CVE-2026-44306MEDIUMStatamic: Email enumeration via forgot password endpointEPSS 0.2%CVE-2026-2859MEDIUMUnauthenticated Host Enumeration via Observable Response Discrepancy on Deploy Agent EndpointEPSS 0.2%