CWE-307 è la classe di debolezza relativa alla scarsa resistenza a ripetuti tentativi di autenticazione falliti. Descrive sistemi di accesso che non rallentano, bloccano o isolano in modo adeguato le attività di tentativo, rendendo molto più facili gli attacchi brute-force online.
Questo è importante perché l'autenticazione è spesso la prima barriera all'accesso amministrativo. Se un servizio non dispone di limitazione del tasso, blocco dell'account, restrizioni basate sulla sorgente o altri meccanismi di throttling, gli aggressori possono automatizzare il tentativo di indovinare le password contro interfacce esposte come console web, portali VPN o API di gestione dei dispositivi. I difensori riducono il rischio con password forti e uniche, MFA dove possibile, allowlist rigorose, filtraggio firewall e segmentazione della rete. In pratica, CWE-307 compare spesso in prodotti che espongono servizi di gestione a reti non affidabili, dove anche piccoli ritardi o limiti di sessione possono essere troppo deboli per fermare il tentativo distribuito.