Falhas do tipo CWE-204

214 resultados

Vazamento de informações por respostas diferenciadas

A aplicação retorna respostas diferentes (tempo de resposta, mensagens de erro, códigos HTTP, comportamento) para requisições distintas, permitindo que um atacante deduza informações internas (existência de usuários, estrutura do sistema, dados sensíveis) sem ter acesso autorizado. O risco está em cada diferença na resposta servir como pista que reduz o espaço de busca do ataque.

Exemplo

Um endpoint de login retorna 'usuário não encontrado' para emails inexistentes, mas 'senha incorreta' para emails válidos. Um atacante usa isso para enumerar contas ativas no sistema. Ou um sistema que demora 200ms para validar senhas corretas e 50ms para incorretas, permitindo adivinhação via timing.

Como mitigar

Padronize respostas para casos de erro (mesmo tempo, mesma mensagem genérica) e implemente rate limiting em operações sensíveis. Use bcrypt com custo fixo para autenticação e evite diferenciar comportamento baseado em dados internos não-públicos.

CVE-2026-73306MEDIUMBudibase: Account Enumeration via Login Lockout Response DifferentialEPSS 0.4%CVE-2026-89173MEDIUMKingdom Communication Associated｜Smart Video Intercom System - Sensitive Data ExposureEPSS 0.4%CVE-2026-61503MEDIUMRejetto HFS < 3.2.1 Username Enumeration via Login Response DifferencesEPSS 0.4%CVE-2018-25350CRITICALuserSpice 4.3.24 Username Enumeration via existingUsernameCheck.phpEPSS 0.4%CVE-2026-27462HIGHCombodo iTop: User enumeration via password resetEPSS 0.4%CVE-2025-5485HIGHSinoTrack GPS Receiver Weak AuthenticationEPSS 0.4%CVE-2024-8651MEDIUMNetcat CMS: user enumerationEPSS 0.4%CVE-2025-27451MEDIUMCVE-2025-27451EPSS 0.4%CVE-2026-72588MEDIUMbluewave-labs Checkmate - User Enumeration via Differential HTTP Response in Password RecoveryEPSS 0.4%CVE-2026-42218MEDIUMXRDP is vulnerable to a server timing attack, leading to user enumerationEPSS 0.4%CVE-2026-19205HIGHUser Enumeration in GastroMenum's GastroMenum Web PanelEPSS 0.4%CVE-2026-19080HIGHUsername Enumeration in Menulux Software's Menulux PortalEPSS 0.4%CVE-2025-9109MEDIUMPortabilis i-Diario Password Recovery Endpoint email observable response discrepancyEPSS 0.4%CVE-2025-61907HIGHIcinga 2 API users could access restricted values in filter expressionsEPSS 0.4%CVE-2026-86758HIGHSnipe-IT before 8.7.0 License Key Exposure via CSV ExportEPSS 0.4%CVE-2024-38322MEDIUMIBM Storage Defender information disclosureEPSS 0.4%CVE-2025-49187MEDIUMUser enumerationEPSS 0.4%CVE-2025-30150MEDIUMShopware 6 allows attackers to check for registered accounts through the store-apiEPSS 0.4%CVE-2025-2910MEDIUMUser enumeration vulnerability in MeetMe productsEPSS 0.4%CVE-2026-23511MEDIUMZITADEL has a user enumeration vulnerability in Login UIsEPSS 0.4%