CWE-640 è una classe di debolezza per meccanismi di recupero password insicuri. Si applica quando il flusso di reimpostazione o recupero di un'applicazione è più facile da abusare, esporre o aggirare di quanto dovrebbe essere, consentendo a un attaccante di ottenere o sfruttare dati di recupero come token di reimpostazione, link di recupero o codici temporanei.
Questo è importante perché il recupero della password spesso ha lo stesso potere dell'autenticazione. Se un link di recupero viene esposto tramite log, endpoint pubblici, modelli di email, cache o altri contenuti accessibili, un attaccante può essere in grado di prendere il controllo dell'account senza conoscere la password. Nelle applicazioni web, questi difetti sono particolarmente pericolosi per gli account amministratore, dove un singolo attacco di recupero riuscito può portare alla compromissione completa del sito.
In difesa, una progettazione sicura del recupero dovrebbe ridurre al minimo la durata dei token, vincolare i link all'utente previsto, impedire che i dati sensibili siano archiviati o riutilizzati come contenuto ordinario ed evitare di esporre i dati di recupero tramite interfacce pubbliche. CWE-640 ricorda che il recupero dell'account deve essere trattato come un percorso di sicurezza ad alta fiducia, non solo come una funzione di comodità.