Falhas do tipo CWE-204

215 resultados

Vazamento de informações por respostas diferenciadas

A aplicação retorna respostas diferentes (tempo de resposta, mensagens de erro, códigos HTTP, comportamento) para requisições distintas, permitindo que um atacante deduza informações internas (existência de usuários, estrutura do sistema, dados sensíveis) sem ter acesso autorizado. O risco está em cada diferença na resposta servir como pista que reduz o espaço de busca do ataque.

Exemplo

Um endpoint de login retorna 'usuário não encontrado' para emails inexistentes, mas 'senha incorreta' para emails válidos. Um atacante usa isso para enumerar contas ativas no sistema. Ou um sistema que demora 200ms para validar senhas corretas e 50ms para incorretas, permitindo adivinhação via timing.

Como mitigar

Padronize respostas para casos de erro (mesmo tempo, mesma mensagem genérica) e implemente rate limiting em operações sensíveis. Use bcrypt com custo fixo para autenticação e evite diferenciar comportamento baseado em dados internos não-públicos.

CVE-2026-33323MEDIUMParse Server: Email verification resend page leaks user existenceEPSS 0.3%CVE-2026-40485MEDIUMChurchCRM: Username Enumeration via Differential Response in Public Login APIEPSS 0.3%CVE-2025-62236MEDIUMFrontier Airlines publicly available email address validationEPSS 0.3%CVE-2025-24023LOWObservable Response Discrepancy in flask-appbuilderEPSS 0.3%CVE-2026-9161MEDIUMUser Enumeration in DernekPlus' Website TemplateEPSS 0.3%CVE-2026-14202MEDIUMUsername Enumeration via Differential Login Responses in Bilin Software's HUMANIST Digital Human ResourcesEPSS 0.3%CVE-2024-42343MEDIUMLoway - CWE-204: Observable Response DiscrepancyEPSS 0.3%CVE-2024-23574MEDIUMHCL Aftermarket EPC is vulnerable to attack since It was found that a malicious actor can use brute-force techniques to either guess or confEPSS 0.3%CVE-2025-3939MEDIUMObservable Response DiscrepancyEPSS 0.3%CVE-2025-54129MEDIUMHAXiam allows for User EnumerationEPSS 0.3%CVE-2025-12455MEDIUMUsername Enumeration Observable Response Discrepancy vulnerability has been discovered in OpenText™ Vertica.EPSS 0.3%CVE-2025-12994MEDIUMMedtronic CareLink Network allows an unauthenticated remote attacker to initiate a request for security questions to an API endpoint that coEPSS 0.3%CVE-2024-56476MEDIUMIBM TXSeries for Multiplatforms information disclosureEPSS 0.3%CVE-2025-58442MEDIUMSaleor has user enumeration vulnerability due to different error messagesEPSS 0.3%CVE-2026-78584MEDIUMObservable Response Discrepancy in Kibana Leading to Cross-Space Information DisclosureEPSS 0.3%CVE-2023-37413MEDIUMIBM Aspera Faspex information disclosureEPSS 0.3%CVE-2026-47083MEDIUMAn issue was discovered in cyrus-imapd in Cyrus IMAP through 3.12.2. There is an ESEARCH cross-user content oracle. By using the ESEARCH comEPSS 0.3%CVE-2026-100164HIGHUser Enumeration in Rolantis Information Technologies' AgentisEPSS 0.3%CVE-2026-71458MEDIUMAutomation-controller: automation-controller-container: automation-controller: named-url 404 body oracle enables cross-tenant resource name enumerationEPSS 0.3%CVE-2026-4045MEDIUMprojectsend Auth.php response discrepancyEPSS 0.3%