Falhas do tipo CWE-204

213 resultados

Vazamento de informações por respostas diferenciadas

A aplicação retorna respostas diferentes (tempo de resposta, mensagens de erro, códigos HTTP, comportamento) para requisições distintas, permitindo que um atacante deduza informações internas (existência de usuários, estrutura do sistema, dados sensíveis) sem ter acesso autorizado. O risco está em cada diferença na resposta servir como pista que reduz o espaço de busca do ataque.

Exemplo

Um endpoint de login retorna 'usuário não encontrado' para emails inexistentes, mas 'senha incorreta' para emails válidos. Um atacante usa isso para enumerar contas ativas no sistema. Ou um sistema que demora 200ms para validar senhas corretas e 50ms para incorretas, permitindo adivinhação via timing.

Como mitigar

Padronize respostas para casos de erro (mesmo tempo, mesma mensagem genérica) e implemente rate limiting em operações sensíveis. Use bcrypt com custo fixo para autenticação e evite diferenciar comportamento baseado em dados internos não-públicos.

CVE-2026-24468MEDIUMOpenAEV Vulnerable to Username/Email Enumeration Through Differential HTTP Responses in Password Reset APIEPSS 0.3%CVE-2026-54445MEDIUMVantage6: Set admin user and password from environment or configurationEPSS 0.3%CVE-2025-69243MEDIUMUser enumeration in Raytha CMSEPSS 0.3%CVE-2026-8242MEDIUMIndustrial Application Software IAS Canias ERP Login RMI doAction response discrepancyEPSS 0.3%CVE-2026-24332MEDIUMDiscord through 2026-01-16 allows gathering information about whether a user's client state is Invisible (and not actually offline) because EPSS 0.3%CVE-2026-111056MEDIUMFOSSBilling: Unauthenticated client account enumeration via guest signup endpointEPSS 0.3%CVE-2026-33688MEDIUMAVideo has Pre-Captcha User Enumeration and Account Status Disclosure in Password Recovery EndpointEPSS 0.3%CVE-2025-9824MEDIUMUser Enumeration via Response TimingEPSS 0.3%CVE-2026-20195MEDIUMCisco Identity Services Engine Observable Response Discrepancy VulnerabilityEPSS 0.3%CVE-2025-67806LOWThe login mechanism of Sage DPW 2021_06_004 displays distinct responses for valid and invalid usernames, allowing enumeration of existing acEPSS 0.3%CVE-2026-107843MEDIUMContao: The registration module re-sends activation mails on any unauthenticated POST, with no throttle and no captcha checkEPSS 0.3%CVE-2026-34264MEDIUMInformation Disclosure vulnerability in SAP Human Capital Management for SAP S/4HANAEPSS 0.3%CVE-2024-42174LOWHCL MyXalytics is affected by username enumeration vulnerabilityEPSS 0.3%CVE-2025-48015LOWObservable Response DiscrepancyEPSS 0.3%CVE-2026-53422LOWSFTP REALPATH path-existence oracle allowing filesystem enumeration outside configured rootEPSS 0.3%CVE-2025-56764MEDIUMTrivision NC-227WF firmware 5.80 (build 20141010) login mechanism reveals whether a username exists or not by returning different error messEPSS 0.3%CVE-2025-25236MEDIUMOmnissa Workspace ONE UEM contains an observable response discrepancy vulnerability. A malicious actor may be able to enumerate sensitive inEPSS 0.3%CVE-2025-59116MEDIUMUser enumeration in Windu CMSEPSS 0.3%CVE-2026-103526LOWCVE-2026-103526EPSS 0.3%CVE-2026-71462MEDIUMAutomation-controller: automation-controller-container: automation-controller: custom_venv_path setting provides filesystem path-existence oracle on control podEPSS 0.3%