# Vulnerabilidade de enumeração de email na caixa de diálogo "Redefinir senha"

**URL:** <https://meta.discourse.org/t/email-enumeration-vulnerability-on-password-reset-dialogue/273449>\
**Category:** UX\
**Created:** [Agosto 1, 2023, 7:37am UTC](https://meta.discourse.org/t/email-enumeration-vulnerability-on-password-reset-dialogue/273449 "2023-08-01T07:37:41Z")\
**Posts on this page:** 1\
**Showing post:** 1

<div class="post-metadata">

**Author:** ![dobon](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/dobon/32/45119_2.png) [@dobon](https://meta.discourse.org/u/dobon)\
**Post date:** [Agosto 1, 2023, 7:37am UTC](https://meta.discourse.org/t/email-enumeration-vulnerability-on-password-reset-dialogue/273449/1 "2023-08-01T07:37:42Z")

</div>

_**OWASP Vulnerability ID: [WSTG-IDNT-04](https://owasp.org/www-project-web-security-testing-guide/v42/4-Web_Application_Security_Testing/03-Identity_Management_Testing/04-Testing_for_Account_Enumeration_and_Guessable_User_Account)**_

**Passos de Reprodução** :

1. Tente usar um e-mail inválido no diálogo “esqueci meu e-mail”:  
 ![2023_07_31_23_59_10_Install_Discourse_on_Synology_directly_installation_Discourse_Meta_Brave](https://global.discourse-cdn.com/meta/original/4X/2/e/f/2ef2a2598bfacb90f85b2296508f0b3871adc994.png)
2. Tente usar um e-mail válido no diálogo “esqueci meu e-mail”:  
 ![2023_07_31_23_56_47_Install_Discourse_on_Synology_directly_installation_Discourse_Meta_Brave](https://global.discourse-cdn.com/meta/original/4X/2/2/a/22abd11a513ef5f266459f88fce738f81a2a57fa.png)

**Descrição da Vulnerabilidade** (da OWASP):

- É possível coletar um conjunto de nomes de usuário válidos interagindo com o mecanismo de autenticação da aplicação. Este teste será útil para testes de força bruta, nos quais o testador verifica se, dado um nome de usuário válido, é possível encontrar a senha correspondente.

- Frequentemente, aplicações web revelam quando um nome de usuário existe no sistema, seja como consequência de má configuração ou como uma decisão de design. Por exemplo, às vezes, quando enviamos credenciais incorretas, recebemos uma mensagem que afirma que o nome de usuário está presente no sistema ou que a senha fornecida está errada. As informações obtidas podem ser usadas por um invasor para obter uma lista de usuários no sistema. Essas informações podem ser usadas para atacar a aplicação web, por exemplo, por meio de um ataque de força bruta ou de nome de usuário e senha padrão.

**Correção Sugerida** :

1. O diálogo “esqueci meu e-mail” deve se comportar da mesma forma, independentemente de o e-mail ser válido ou inválido.  
 ![2023_08_01_00_18_42_Install_Discourse_on_Synology_directly_installation_Discourse_Meta_Brave](https://global.discourse-cdn.com/meta/original/4X/0/6/7/067fd386f8461f8ef4aec3b5b91ba5c412da3586.png)

---

_[View the full topic](https://meta.discourse.org/t/email-enumeration-vulnerability-on-password-reset-dialogue/273449)._