Weaknesses of type CWE-301
1 resultProteção Insuficiente de Funcionalidade Crítica por Autenticação ou Criptografia
É quando uma funcionalidade sensível do sistema (como alterar senhas, acessar dados confidenciais ou executar ações administrativas) não exige autenticação robusta ou não usa criptografia adequada para proteger a comunicação. Isso permite que um atacante contorne as defesas e execute ações que deveria estar impedido.
Um sistema que permite trocar a senha de um usuário via GET request simples (ex: /admin/changepass?user=joao&newpass=123) sem validar quem está fazendo a requisição, ou uma API que expõe dados de cartão de crédito sem criptografia HTTPS. Um atacante consegue acessar diretamente ou interceptar a comunicação.
Sempre autentique e autorize antes de executar operações críticas. Use HTTPS/TLS para toda comunicação sensível, implemente tokens de sessão seguros, e jamais confie em parâmetros de URL ou cookies para operações que mudem estado. Adicione verificações de autenticação multi-camadas (MFA quando apropriado) para ações de alto risco.