Falhas do tipo CWE-307

545 resultados

Falta de proteção contra tentativas excessivas de autenticação

A aplicação não limita ou não desacelera tentativas de login, permitindo que um atacante teste múltiplas credenciais rapidamente (força bruta, dicionário ou spray de senhas). Sem controle, a conta fica vulnerável a comprometimento, especialmente se senhas fracas forem usadas.

Exemplo

Um endpoint de login que aceita 10 mil requisições por segundo sem nenhuma restrição. Um atacante automatiza tentativas com senhas comuns contra mil usuários até acertar credenciais válidas em poucos minutos.

Como mitigar

Implemente rate limiting (máximo de tentativas por IP/usuário em período curto), atrasos progressivos (backoff exponencial) após falhas, bloqueio temporário de conta após N tentativas, e idealmente autenticação multifator para reduzir o dano de senhas comprometidas.

CVE-2026-27753MEDIUMSODOLA SL902-SWTGW124AS <= 200.1.20 Improper Login Rate LimitingEPSS 0.4%CVE-2025-1928CRITICALImproper Authentication in Restajet's Online Food Delivery SystemEPSS 0.4%CVE-2026-49470HIGHGLPI: Missing Rate Limiting on Login and TOTP Verification — Account Takeover via Brute ForceEPSS 0.4%CVE-2024-28022MEDIUMA vulnerability exists in the UNEM server / APIGateway that if exploited allows a malicious user to perform an arbitrary number of authenticEPSS 0.4%CVE-2025-12995HIGHMedtronic CareLink Network allows an unauthenticated remote attacker to perform a brute force attack on an API endpoint that could be used tEPSS 0.4%CVE-2021-27782MEDIUMHCL BigFix Mobile / Modern Client Management Server passwords are susceptible to a brute-force attackEPSS 0.4%CVE-2026-18260MEDIUMDisable Login Page - Moderately critical - Access bypass - SA-CONTRIB-2026-110EPSS 0.4%CVE-2026-102825LOWRussh: Configured server auth-attempt cap is not enforced in the USERAUTH_REQUEST runtime pathEPSS 0.4%CVE-2023-48745MEDIUMWordPress Captcha Code plugin <= 2.9 - Captcha Bypass vulnerabilityEPSS 0.4%CVE-2024-32720MEDIUMWordPress Appointment Hour Booking plugin <= 1.4.56 - Captcha Bypass vulnerabilityEPSS 0.4%CVE-2026-31851HIGHNexxt Nebula 300+ - Lack of Rate Limiting Enables Brute-Force AttacksEPSS 0.3%CVE-2026-36959HIGHU-SPEED N300 router V1.0.0 does not implement rate limiting or account lockout protections on the /api/login endpoint. This allows an attackEPSS 0.3%CVE-2025-2415HIGHOTP Bypass in Akinsoft's MyRezztaEPSS 0.3%CVE-2026-6853CRITICALOTP Bypass in Başbelen Group's Pause+ Mobile AppEPSS 0.3%CVE-2025-2416HIGHOTP Bypass in Akinsoft's LimonDeskEPSS 0.3%CVE-2025-2413HIGHOTP Bypass in Akinsoft's ProKuaforEPSS 0.3%CVE-2025-2414HIGHOTP Bypass in Akinsoft's OctoCloudEPSS 0.3%CVE-2025-2412HIGHOTP Bypass in Akinsoft's QR MenuEPSS 0.3%CVE-2026-82643MEDIUMWWBN AVideo Unauthenticated Rate Limit Bypass via preauthorize.json.phpEPSS 0.3%CVE-2025-1496MEDIUMImproper Authentication in BG-TEK's Coslat HotspotEPSS 0.3%