Falhas do tipo CWE-307

484 resultados

Falta de proteção contra tentativas excessivas de autenticação

A aplicação não limita ou não desacelera tentativas de login, permitindo que um atacante teste múltiplas credenciais rapidamente (força bruta, dicionário ou spray de senhas). Sem controle, a conta fica vulnerável a comprometimento, especialmente se senhas fracas forem usadas.

Exemplo

Um endpoint de login que aceita 10 mil requisições por segundo sem nenhuma restrição. Um atacante automatiza tentativas com senhas comuns contra mil usuários até acertar credenciais válidas em poucos minutos.

Como mitigar

Implemente rate limiting (máximo de tentativas por IP/usuário em período curto), atrasos progressivos (backoff exponencial) após falhas, bloqueio temporário de conta após N tentativas, e idealmente autenticação multifator para reduzir o dano de senhas comprometidas.

CVE-2022-33735MEDIUMThere is a password verification vulnerability in WS7200-10 11.0.2.13. Attackers on the LAN may use brute force cracking to obtain passwordsEPSS 0.2%CVE-2025-10928MEDIUMAccess code - Moderately critical - Access bypass - SA-CONTRIB-2025-108EPSS 0.2%CVE-2025-6030CRITICALAutoeastern Smart Keyless Entry System Replay AttackEPSS 0.2%CVE-2025-8118MEDIUMBruteforce Protection Bypass in PAD CMSEPSS 0.2%CVE-2026-86729CRITICALWWBN AVideo Unrestricted Authentication Attempts via get_api_preauthorizeEPSS 0.2%CVE-2026-43926MEDIUMFOSSBilling's password reset confirmation endpoint lacks rate limitingEPSS 0.2%CVE-2026-18260MEDIUMDisable Login Page - Moderately critical - Access bypass - SA-CONTRIB-2026-110EPSS 0.2%CVE-2026-21755MEDIUMHCL Hive is affected by a missing rate limitEPSS 0.2%CVE-2026-88770MEDIUMKeycloak-services: keycloak-services: device authorization grant issues tokens to brute-force-locked accountsEPSS 0.2%CVE-2023-34732MEDIUMAn issue in the userId parameter in the change password function of Flytxt NEON-dX v0.0.1-SNAPSHOT-6.9-qa-2-9-g5502a0c allows attackers to eEPSS 0.2%CVE-2026-7820MEDIUMpgAdmin 4: Account-lockout bypass via Flask-Security default /login viewEPSS 0.2%CVE-2025-54998MEDIUMOpenBao Userpass and LDAP User Lockout BypassEPSS 0.2%CVE-2026-26206MEDIUMWazuh: API brute-force protection bypass via race condition in login attempt trackingEPSS 0.2%CVE-2026-71205MEDIUMchangedetection.io - No Rate Limiting on /login Enables Unlimited Password Brute-ForceEPSS 0.2%CVE-2026-82643MEDIUMWWBN AVideo Unauthenticated Rate Limit Bypass via preauthorize.json.phpEPSS 0.2%CVE-2025-55003MEDIUMOpenBao Login MFA Bypasses Rate Limiting and TOTP Token ReuseEPSS 0.2%CVE-2026-7255MEDIUM** UNSUPPORTED WHEN ASSIGNED ** An improper restriction of excessive authentication attempts vulnerability in the web management interface oEPSS 0.2%CVE-2022-26519MEDIUMInterlogix Hills ComNav Improper Restriction of Excessive Authentication AttemptsEPSS 0.2%CVE-2024-32771LOWQTS, QuTS heroEPSS 0.2%CVE-2026-41037HIGHMissing Rate Limiting Vulnerability in Quantum Networks Router QN-I-470EPSS 0.2%