CWE-916 è una classe di debolezza per configurazioni di hashing delle password troppo economiche da calcolare. In pratica, questo significa che un algoritmo di hash o un fattore di lavoro è impostato troppo in basso, quindi ogni tentativo di indovinare la password richiede meno tempo e meno potenza di calcolo di quanto dovrebbe. La password non viene esposta direttamente, ma la protezione intorno ad essa viene indebolita.
Questo è importante perché gli aggressori spesso rubano gli hash delle password da backup, esportazioni o database compromessi e poi li forzano offline. Se il costo dell'hashing è debole, possono provare molte più ipotesi molto più velocemente e recuperare gli account più facilmente. I difensori riducono questo rischio usando schemi moderni di hashing delle password, scegliendo un forte fattore di lavoro e proteggendo gli hash memorizzati con crittografia, controllo degli accessi e una gestione sicura dei backup.