Falhas do tipo CWE-290

717 resultados

Autenticação vulnerável a falsificação de identidade

Ocorre quando o sistema implementa mecanismos de autenticação de forma incorreta, permitindo que um atacante se passe por outro usuário sem fornecer credenciais válidas. A falha geralmente está em lógica fraca de validação de identidade, como confiar em dados facilmente manipuláveis (headers HTTP, cookies não assinados) ou em esquemas de autenticação incompletos que não verificam adequadamente quem está fazendo a requisição.

Exemplo

Um aplicativo web que valida login apenas verificando se existe um cookie com o nome 'user_id=123', sem assinatura criptográfica. Um atacante pode simplesmente adicionar esse cookie em sua requisição e o sistema o autenticará como o usuário 123. Outro caso comum: APIs que usam IP de origem como forma de autenticação, facilmente spoofada.

Como mitigar

Implemente autenticação robusta baseada em padrões estabelecidos (OAuth 2.0, JWT com assinatura, sessões server-side com tokens opacos). Valide identidade em cada requisição através de mecanismos criptográficos. Nunca confie unicamente em dados do cliente (headers customizados, cookies não assinados) como prova de identidade; sempre verifique contra estado confiável no servidor.

CVE-2023-20245MEDIUMMultiple vulnerabilities in the per-user-override feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat DefEPSS 0.6%CVE-2022-38712MEDIUM"IBM WebSphere Application Server 7.0, 8.0, 8.5, and 9.0 Web services could allow a man-in-the-middle attacker to conduct SOAPAction spoofinEPSS 0.6%CVE-2023-41133MEDIUMWordPress Secure Admin IP plugin <= 2.0 - IP Spoofing vulnerabilityEPSS 0.6%CVE-2023-36883MEDIUMMicrosoft Edge for iOS Spoofing VulnerabilityEPSS 0.6%CVE-2024-22519HIGHAn issue discovered in OpenDroneID OSM 3.5.1 allows attackers to impersonate other drones via transmission of crafted data packets.EPSS 0.6%CVE-2026-70179HIGHASP.NET Core Elevation of Privilege VulnerabilityEPSS 0.6%CVE-2025-34053MEDIUMAVTECH IP camera, DVR, and NVR Devices Authentication Bypass via .cab Path ManipulationEPSS 0.6%CVE-2023-41329LOWDomain restrictions bypass via DNS Rebinding in WireMock and WireMock StudioEPSS 0.6%CVE-2026-42354CRITICALSentry: Improper authentication on SAML SSO process allows user identity linkingEPSS 0.6%CVE-2022-31738MEDIUMWhen exiting fullscreen mode, an iframe could have confused the browser about the current state of fullscreen, resulting in potential user cEPSS 0.6%CVE-2026-50755CRITICALAn issue in DayuanJiang next-ai-draw-io 0.4.13 allows a remote attacker to obtain sensitive information via the X-Forwarded-For header valueEPSS 0.6%CVE-2019-3884LOWA vulnerability exists in the garbage collection mechanism of atomic-openshift. An attacker able spoof the UUID of a valid object from anothEPSS 0.6%CVE-2026-55652CRITICALWekan: Header-login IP allowlist bypass via X-Forwarded-For spoofing in Wekan allows unauthenticated full account takeover (incl. admin)EPSS 0.6%CVE-2025-27671CRITICALVasion Print (formerly PrinterLogic) before Virtual Appliance Host 22.0.843 Application 20.0.1923 allows Device Impersonation OVE-20230524-0EPSS 0.6%CVE-2023-2807MEDIUMAuthentication bypass in password reset processEPSS 0.6%CVE-2023-23398HIGHMicrosoft Excel Spoofing VulnerabilityEPSS 0.6%CVE-2025-34065MEDIUMAVTECH IP camera, DVR, and NVR Devices Authentication Bypass via /nobody URL PathEPSS 0.6%CVE-2026-49757CRITICALOAuth2/OIDC account takeover in AshAuthentication via email-based user matchingEPSS 0.6%CVE-2022-51026CRITICALBytebase 0.12.0 before 1.0.1 Authentication Bypass via GitLab Self-Hosted LoginEPSS 0.6%CVE-2026-76356HIGHAuthentication Bypass through IP Address Spoofing in the Automation Broker in Splunk SOAREPSS 0.6%