Falhas do tipo CWE-204

215 resultados

Vazamento de informações por respostas diferenciadas

A aplicação retorna respostas diferentes (tempo de resposta, mensagens de erro, códigos HTTP, comportamento) para requisições distintas, permitindo que um atacante deduza informações internas (existência de usuários, estrutura do sistema, dados sensíveis) sem ter acesso autorizado. O risco está em cada diferença na resposta servir como pista que reduz o espaço de busca do ataque.

Exemplo

Um endpoint de login retorna 'usuário não encontrado' para emails inexistentes, mas 'senha incorreta' para emails válidos. Um atacante usa isso para enumerar contas ativas no sistema. Ou um sistema que demora 200ms para validar senhas corretas e 50ms para incorretas, permitindo adivinhação via timing.

Como mitigar

Padronize respostas para casos de erro (mesmo tempo, mesma mensagem genérica) e implemente rate limiting em operações sensíveis. Use bcrypt com custo fixo para autenticação e evite diferenciar comportamento baseado em dados internos não-públicos.

CVE-2022-39228MEDIUMObservable Response Discrepancy in vantage6EPSS 0.6%CVE-2024-25146MEDIUMLiferay Portal 7.2.0 through 7.4.1, and older unsupported versions, and Liferay DXP 7.3 before service pack 3, 7.2 before fix pack 18, and oEPSS 0.6%CVE-2026-54739MEDIUMLemmy: Login Endpoint User Enumeration via HTTP Response Code DifferentialEPSS 0.6%CVE-2024-40627MEDIUMOpaMiddleware does not filter HTTP OPTIONS requestsEPSS 0.6%CVE-2025-54834MEDIUMOPEXUS FOIAXpress Public Access Link (PAL) unauthenticated username enumerationEPSS 0.6%CVE-2023-37831—An issue discovered in Elenos ETG150 FM transmitter v3.12 allows attackers to enumerate user accounts based on server responses when credentEPSS 0.6%CVE-2023-41885MEDIUMPiccolo's current `BaseUser.login` implementation is vulnerable to time based user enumerationEPSS 0.6%CVE-2026-60007CRITICALIn Eclipse Milo versions 0.6.0 through 1.1.4, username-token processing returns distinguishable errors for invalid RSA PKCS#1 v1.5 padding aEPSS 0.6%CVE-2023-32346MEDIUM Teltonika’s Remote Management System versions prior to 4.10.0 contain a function that allows users to claim their devices. This function reEPSS 0.5%CVE-2025-31124MEDIUMZitadel allows User Enumeration by loginname attribute normalizationEPSS 0.5%CVE-2025-34155MEDIUMTibbo AggreGate Network Manager < 6.40.05 Login Functionality User EnumerationEPSS 0.5%CVE-2025-24980MEDIUMPimcore Admin Classic Bundle allows user enumerationEPSS 0.5%CVE-2026-110310MEDIUMRSA PKCS#1 v1.5 padding oracle via legacy envelope key format downgrade in Amazon S3 Encryption Client for .NETEPSS 0.5%CVE-2023-23584MEDIUM An observable response discrepancy in the Gallagher Command Centre RESTAPI allows an insufficiently-privileged user to infer the presence oEPSS 0.5%CVE-2026-19965MEDIUMautomad Password Reset Endpoint UserController.php requestPasswordResetToken response discrepancyEPSS 0.5%CVE-2024-1145MEDIUMObservable Response Discrepancy at Alma Devklan BlogEPSS 0.5%CVE-2024-51447MEDIUMA vulnerability has been identified in Polarion V2310 (All versions), Polarion V2404 (All versions < V2404.2). The login implementation of tEPSS 0.5%CVE-2026-81033MEDIUMAutomatisch through 0.15.0 User Enumeration via Forgot-Password Response DiscrepancyEPSS 0.5%CVE-2023-28412MEDIUM When supplied with a random MAC address, Snap One OvrC cloud servers will return information about the device. The MAC address of dEPSS 0.5%CVE-2019-25338MEDIUMDokuwiki 2018-04-22b - Username EnumerationEPSS 0.5%