Falhas do tipo CWE-290

721 resultados

Autenticação vulnerável a falsificação de identidade

Ocorre quando o sistema implementa mecanismos de autenticação de forma incorreta, permitindo que um atacante se passe por outro usuário sem fornecer credenciais válidas. A falha geralmente está em lógica fraca de validação de identidade, como confiar em dados facilmente manipuláveis (headers HTTP, cookies não assinados) ou em esquemas de autenticação incompletos que não verificam adequadamente quem está fazendo a requisição.

Exemplo

Um aplicativo web que valida login apenas verificando se existe um cookie com o nome 'user_id=123', sem assinatura criptográfica. Um atacante pode simplesmente adicionar esse cookie em sua requisição e o sistema o autenticará como o usuário 123. Outro caso comum: APIs que usam IP de origem como forma de autenticação, facilmente spoofada.

Como mitigar

Implemente autenticação robusta baseada em padrões estabelecidos (OAuth 2.0, JWT com assinatura, sessões server-side com tokens opacos). Valide identidade em cada requisição através de mecanismos criptográficos. Nunca confie unicamente em dados do cliente (headers customizados, cookies não assinados) como prova de identidade; sempre verifique contra estado confiável no servidor.

CVE-2026-89327LOWFluentBoards < 2.0.15 - Board Member+ Comment Author Spoofing via 'comment_by' ParameterEPSS 0.3%CVE-2026-73742MEDIUMImproper Client Address Validation allows Request Attribution Spoofing in Fabric Composer API EndpointEPSS 0.3%CVE-2022-44636MEDIUMThe Samsung TV (2021 and 2022 model) smart remote control allows attackers to enable microphone access via Bluetooth spoofing when a user isEPSS 0.3%CVE-2025-56800MEDIUMReolink desktop application 8.18.12 contains a vulnerability in its local authentication mechanism. The application implements lock screen pEPSS 0.3%CVE-2023-49794MEDIUMThe logic of get apk path in KernelSU module can be bypassedEPSS 0.3%CVE-2025-66508MEDIUM1Panel IP Access Control Bypass via Untrusted X-Forwarded-For HeadersEPSS 0.3%CVE-2024-0454MEDIUMSecurity Vulnerability on Match-on-Chip FPR ArchitectureEPSS 0.3%CVE-2025-67298HIGHAn issue in ClasroomIO before v.0.2.6 allows a remote attacker to escalate privileges via the endpoints /api/verify and /rest/v1/profileEPSS 0.3%CVE-2026-8951MEDIUMSpoofing issue in the Toolbar component in Firefox for AndroidEPSS 0.3%CVE-2026-66674MEDIUMWordPress Simple Cloudflare Turnstile plugin <= 1.42.1 - Captcha Bypass vulnerabilityEPSS 0.3%CVE-2026-21862HIGHRustFS sourceIp bypass via spoofed X-Forwarded-For/Real-IP headersEPSS 0.3%CVE-2026-115933CRITICALForged signed tokens let any registered user take over other users and organizationsEPSS 0.2%CVE-2025-32788MEDIUMOctoPrint Authenticated Reverse Proxy Page Authentication BypassEPSS 0.2%CVE-2026-105741HIGHLangflow: IP Spoofing Bypass via `X-Forwarded-For` Allowing Remote Configuration WriteEPSS 0.2%CVE-2026-4728MEDIUMSpoofing issue in the Privacy: Anti-Tracking componentEPSS 0.2%CVE-2026-28480MEDIUMOpenClaw < 2026.2.14 - Identity Spoofing via Mutable Username in Telegram Allowlist AuthorizationEPSS 0.2%CVE-2025-71056HIGHImproper session management in GCOM EPON 1GE ONU version C00R371V00B01 allows attackers to execute a session hijacking attack via spoofing tEPSS 0.2%CVE-2026-54478LOWDNS Cookie bypass when combined with proxy-protocol useEPSS 0.2%CVE-2025-9265CRITICALAPI Authentication Bypass via Header Spoofing vulnerability in Kiloview NDI N30 ProductsEPSS 0.2%CVE-2026-107336MEDIUMAuthentication Bypass by Spoofing in MalcolmEPSS 0.2%