Falhas do tipo CWE-307

540 resultados

Falta de proteção contra tentativas excessivas de autenticação

A aplicação não limita ou não desacelera tentativas de login, permitindo que um atacante teste múltiplas credenciais rapidamente (força bruta, dicionário ou spray de senhas). Sem controle, a conta fica vulnerável a comprometimento, especialmente se senhas fracas forem usadas.

Exemplo

Um endpoint de login que aceita 10 mil requisições por segundo sem nenhuma restrição. Um atacante automatiza tentativas com senhas comuns contra mil usuários até acertar credenciais válidas em poucos minutos.

Como mitigar

Implemente rate limiting (máximo de tentativas por IP/usuário em período curto), atrasos progressivos (backoff exponencial) após falhas, bloqueio temporário de conta após N tentativas, e idealmente autenticação multifator para reduzir o dano de senhas comprometidas.

CVE-2022-42478HIGHAn Improper Restriction of Excessive Authentication Attempts [CWE-307] in FortiSIEM below 7.0.0 may allow a non-privileged user with access EPSS 0.5%CVE-2026-62862CRITICALTypeBot: Account takeover via brute-forceable 6-digit magic-link codeEPSS 0.5%CVE-2025-7393CRITICALMail Login - Critical - Access bypass - SA-CONTRIB-2025-088EPSS 0.5%CVE-2025-63807CRITICALAn issue was discovered in weijiang1994 university-bbs (aka Blogin) in commit 9e06bab430bfc729f27b4284ba7570db3b11ce84 (2025-01-13). A weak EPSS 0.5%CVE-2023-45582MEDIUMAn improper restriction of excessive authentication attempts vulnerability [CWE-307] in FortiMail webmail version 7.2.0 through 7.2.4, 7.0.0EPSS 0.5%CVE-2026-33152CRITICALTandoor Recipes Vulnerable to Unrestricted Brute-Force via BasicAuthenticationEPSS 0.5%CVE-2026-121535MEDIUMmiroslavpejic85 MiroTalk P2P Room Action server.js checkPassword excessive authenticationEPSS 0.5%CVE-2024-28825MEDIUMBrute-force protection ineffective for some login methodsEPSS 0.5%CVE-2026-73045HIGHSiYuan before 3.7.4 Brute-Force via authFilePublishAccessEPSS 0.5%CVE-2025-49195MEDIUMNo protection against brute-force attacksEPSS 0.5%CVE-2026-32295CRITICALJetKVM insufficient login rate limitingEPSS 0.5%CVE-2026-62220MEDIUMOpenClaw 2026.2.25 < 2026.5.26 WebSocket Rate Limit BypassEPSS 0.5%CVE-2026-74868HIGHSiYuan before 3.7.4 Brute-Force Authentication via Publish ServiceEPSS 0.5%CVE-2026-89174HIGHKingdom Communication Associated｜Smart Video Intercom System - Missing Burte-force ProtectionEPSS 0.5%CVE-2023-44235MEDIUMWordPress WP Captcha plugin <= 2.0.0 - Captcha Bypass vulnerabilityEPSS 0.5%CVE-2026-55795MEDIUMCraft Commerce: Coupon Code Brute-Force via Rate Limit BypassEPSS 0.5%CVE-2026-116123MEDIUMNocoDB signup validatePassword excessive authenticationEPSS 0.5%CVE-2024-30390MEDIUMJunos OS Evolved: Connection limits is not being enforced while the resp. rate limit is being enforcedEPSS 0.5%CVE-2025-36064MEDIUMIBM Sterling Connect:Express for Microsoft Windows information disclosureEPSS 0.5%CVE-2024-47656CRITICALUser Enumeration vulnerabilityEPSS 0.5%