Falhas do tipo CWE-916

98 resultados

Uso de hash de senha com esforço computacional insuficiente

É quando a aplicação usa algoritmos de hash rápidos (MD5, SHA-1, SHA-256 simples) ou com poucos rounds para proteger senhas, em vez de funções lentas e pesadas como bcrypt, scrypt ou Argon2. Isso permite que um atacante teste muitas senhas por segundo em um ataque de força bruta, quebrando rapidamente até senhas relativamente complexas.

Exemplo

Um sistema armazena senhas como sha256(senha) sem salt e sem iterações. Um atacante com um dicionário consegue testar 1 bilhão de combinações por segundo em uma GPU moderna, quebrando a maioria das senhas em horas. Se usasse bcrypt com custo 12, o mesmo ataque levaria séculos.

Como mitigar

Trocar para funções específicas para senha: bcrypt (custo mínimo 10-12), scrypt, Argon2 ou PBKDF2 (mínimo 600 mil iterações). Adicionar salt aleatório único por usuário. Para sistemas legados, executar uma migração gradual: na autenticação do usuário, rehashar a senha para o novo algoritmo e armazenar.

CVE-2026-116071HIGHrotki before 1.44.2 Weak Key Derivation for Premium Cloud Backup EncryptionEPSS 0.2%CVE-2026-107829HIGHJivejdon through 5.0 Unsalted MD5 Password Storage via AccountDaoSqlEPSS 0.2%CVE-2020-10040—A vulnerability has been identified in SICAM MMU (All versions < V2.05), SICAM SGU (All versions), SICAM T (All versions < V2.18). An attackEPSS 0.2%CVE-2026-105156MEDIUMYzmCMS MD5 system.func.php password weak password hashEPSS 0.2%CVE-2026-25861HIGHQloApps 1.7.0 Weak Password Hashing via MD5 in Tools.phpEPSS 0.2%CVE-2021-33003—Delta Electronics DIAEnergie Version 1.7.5 and prior may allow an attacker to retrieve passwords in cleartext due to a weak hashing algorithEPSS 0.2%CVE-2020-12069HIGHCODESYS V3 prone to Inadequate Password HashingEPSS 0.2%CVE-2026-45027MEDIUMWeGIA: Use of Weak Password Hashing Algorithm (SHA-256, no salt) in html/login.phpEPSS 0.2%CVE-2021-22741—Use of Password Hash with Insufficient Computational Effort vulnerability exists in ClearSCADA (all versions), EcoStruxure Geo SCADA Expert EPSS 0.2%CVE-2026-75112MEDIUMOTTO® Fleet Manager – Weak Password Hashing ConfigurationEPSS 0.2%CVE-2025-2349LOWIROAD Dash Cam FX2 Password Hash passwd weak password hashEPSS 0.2%CVE-2026-49005LOWRoot password hash exposure vulnerability in ZTE F689 productEPSS 0.2%CVE-2021-38400MEDIUMUse of Password Hash with Insufficient Computational Effort for Boston Scientific Zoom LatitudeEPSS 0.1%CVE-2025-2265HIGHSantesoft Sante PACS Server HTTP.db SHA1 Hash TruncationEPSS 0.1%CVE-2025-67168MEDIUMRiteCMS v3.1.0 was discovered to use insecure encryption to store passwords.EPSS 0.1%CVE-2026-44611MEDIUMMacGregor Voyage Data Recorder (VDR) G4e Use of Password Hash With Insufficient Computational EffortEPSS 0.1%CVE-2024-55057MEDIUMPhpgurukul Online Birth Certificate System 1.0 suffers from insufficient password requirements which can lead to unauthorized access to userEPSS 0.1%CVE-2026-5040HIGHWeak Password Hashing Mechanism in TP-Link Deco M5EPSS 0.1%CVE-2025-46413MEDIUMUse of password hash with insufficient computational effort issue exists in BUFFALO Wi-Fi router 'WSR-1800AX4 series'. When WPS is enabled, EPSS 0.1%CVE-2022-0022MEDIUMPAN-OS: Use of a Weak Cryptographic Algorithm for Stored Password HashesEPSS 0.1%