Falhas do tipo CWE-290

721 resultados

Autenticação vulnerável a falsificação de identidade

Ocorre quando o sistema implementa mecanismos de autenticação de forma incorreta, permitindo que um atacante se passe por outro usuário sem fornecer credenciais válidas. A falha geralmente está em lógica fraca de validação de identidade, como confiar em dados facilmente manipuláveis (headers HTTP, cookies não assinados) ou em esquemas de autenticação incompletos que não verificam adequadamente quem está fazendo a requisição.

Exemplo

Um aplicativo web que valida login apenas verificando se existe um cookie com o nome 'user_id=123', sem assinatura criptográfica. Um atacante pode simplesmente adicionar esse cookie em sua requisição e o sistema o autenticará como o usuário 123. Outro caso comum: APIs que usam IP de origem como forma de autenticação, facilmente spoofada.

Como mitigar

Implemente autenticação robusta baseada em padrões estabelecidos (OAuth 2.0, JWT com assinatura, sessões server-side com tokens opacos). Valide identidade em cada requisição através de mecanismos criptográficos. Nunca confie unicamente em dados do cliente (headers customizados, cookies não assinados) como prova de identidade; sempre verifique contra estado confiável no servidor.

CVE-2026-24899HIGHFleet Windows MDM Azure AD JWT Authentication BypassEPSS 0.4%CVE-2026-83864MEDIUMWindows NTFS Information Disclosure VulnerabilityEPSS 0.4%CVE-2026-4894MEDIUMAuthentication bypass in multiple products from Frappe TechnologiesEPSS 0.4%CVE-2025-12430HIGHObject lifecycle issue in Media in Google Chrome prior to 142.0.7444.59 allowed a remote attacker to perform UI spoofing via a crafted HTML EPSS 0.4%CVE-2025-14327HIGHSpoofing issue in the Downloads Panel componentEPSS 0.4%CVE-2024-37430MEDIUMWordPress Patreon WordPress plugin <= 1.9.0 - Image Protection Bypass vulnerabilityEPSS 0.4%CVE-2026-86391MEDIUMDell PowerProtect Data Domain Management Center, Feature Release versions 7.7.1.0 through 8.8, LTS2024 release versions 7.13.1.0 through 7.1EPSS 0.4%CVE-2024-41432MEDIUMAn IP Spoofing vulnerability has been discovered in Likeshop up to 2.5.7.20210811. This issue allows an attacker to replace their real IP adEPSS 0.4%CVE-2023-51543MEDIUMWordPress RegistrationMagic plugin <= 5.2.5.0 - IP Limit Bypass vulnerabilityEPSS 0.4%CVE-2025-56449HIGHA security vulnerability was identified in Obsidian Scheduler's REST API 5.0.0 thru 6.3.0. If an account is locked out due to not enrolling EPSS 0.4%CVE-2026-8960HIGHSpoofing issue in WebExtensionsEPSS 0.4%CVE-2025-62235HIGHApache Mynewt NimBLE: Incorrect handling of SMP Security Request could lead to undesirable pairingEPSS 0.4%CVE-2025-12414CRITICALLooker account compromise via punycode homograph attackEPSS 0.4%CVE-2026-103512MEDIUMTicket host-binding bypass via spoofed client IP in P4SearchEPSS 0.4%CVE-2023-42889MEDIUMThe issue was addressed with improved checks. This issue is fixed in macOS Sonoma 14.1, macOS Monterey 12.7.1, macOS Ventura 13.6.1. An app EPSS 0.4%CVE-2026-19121HIGHMultiple Vulnerabilities in IBM API ConnectEPSS 0.4%CVE-2026-106465MEDIUMMissing HelloVerifyRequest cookie validation in the NetX Secure DTLS serverEPSS 0.4%CVE-2026-40460MEDIUMNGINX ngx_quic_module vulnerabilityEPSS 0.4%CVE-2024-32708LOWWordPress Maintenance Mode plugin <= 3.0.1 - IP Bypass vulnerabilityEPSS 0.4%CVE-2026-77903CRITICALMicrosoft Dataverse Elevation of Privilege VulnerabilityEPSS 0.4%