Falhas do tipo CWE-304

52 resultados

Falha na implementação de autenticação por omissão de etapas

A aplicação implementa um mecanismo de autenticação, mas pula ou ignora uma ou mais etapas essenciais do fluxo, enfraquecendo a segurança. Isso pode ser um passo de validação, verificação de credenciais ou confirmação de identidade que deveria ser obrigatório. O risco: um atacante consegue contornar o controle de acesso sem fornecer credenciais válidas ou completas.

Exemplo

Um login de dois fatores que envia SMS, mas o código não valida se o SMS foi realmente confirmado antes de criar a sessão — basta navegar direto para o dashboard. Ou um formulário que checa apenas o usuário, mas pula a validação da senha porque uma condicional foi mal escrita.

Como mitigar

Auditar o fluxo completo de autenticação e garantir que TODAS as etapas sejam executadas em sequência, sem exceções. Use testes automatizados (unit e integração) que forçam cada passo do caminho crítico e falham se alguma validação for pulada.

CVE-2025-5715LOWSignal App Biometric Authentication missing critical step in authenticationEPSS 0.3%CVE-2026-100667MEDIUMgrav-plugin-login 3.8.7 through 3.9.6 Two-Factor Authentication BypassEPSS 0.3%CVE-2026-42452HIGHTermix: Pending-TOTP temporary token can regenerate backup codes and neutralize TOTPEPSS 0.3%CVE-2026-93994HIGHApache MINA SSHD: Repeated-publickey policy bypass on serverEPSS 0.3%CVE-2024-52965MEDIUMA missing critical step in authentication vulnerability [CWE-304] in Fortinet FortiOS version 7.6.0 through 7.6.1, 7.4.0 through 7.4.5, 7.2.EPSS 0.3%CVE-2026-44547CRITICALChurchCRM: Incomplete fix for CVE-2026-40582: public API login still bypasses 2FA and account lockout in ChurchCRM 7.2.2EPSS 0.3%CVE-2026-113438MEDIUMPleasanter provided fails to properly verify passwords in LDAP authentication when processing specially crafted requests under certain confiEPSS 0.2%CVE-2024-11302HIGHMissing check_access in lollms_binding_infos in parisneo/lollmsEPSS 0.2%CVE-2025-43014MEDIUMIn JetBrains Toolbox App before 2.6 the SSH plugin established connections without sufficient user confirmationEPSS 0.2%CVE-2025-43798LOWLiferay DXP 2023.Q4.0, 2023.Q3.1 through 2023.Q3.4, 7.4 GA through update 92 and 7.3 GA through update 35 allows a time-based one-time passwEPSS 0.2%CVE-2024-12136MEDIUMImproper Access Control in Elfatek Elektronics' ANKA JPD-00028EPSS 0.2%CVE-2026-123297MEDIUMIn JetBrains Hub before 2026.2.52519 two-factor authentication bypass was possible via the password reset flowEPSS —