CWE-258 descrive una debolezza in cui un account o una configurazione utilizza una password vuota. A differenza della rottura di una password complessa, una password vuota significa che il sistema accetta nessun segreto, quindi l'autenticazione viene di fatto aggirata. Ciò compare spesso in dispositivi embedded, strumenti di amministrazione o script di avvio, dove gli sviluppatori lasciano vuoto un campo credenziali per comodità, test o compatibilità.
Nella sicurezza informatica, questo è grave perché trasforma un servizio protetto in uno aperto. Un attaccante che raggiunge il servizio può ottenere accesso alle funzioni di gestione, ai dati in tempo reale o alle impostazioni del dispositivo senza brute force o malware. Nel firmware delle telecamere, un account privilegiato senza password su un'interfaccia di gestione può esporre flussi e controlli. I difensori dovrebbero trattare le password vuote come un difetto che blocca il rilascio: imporre credenziali non vuote, rifiutare gli accessi vuoti lato server, verificare i file di configurazione e analizzare le immagini firmware e gli archivi degli account alla ricerca di percorsi autenticati in modo improprio o con segreto vuoto.