CWE-603: Use of Client-Side Authentication

Definition

What is CWE-603?

This vulnerability occurs when an application places its authentication logic solely within the client-side code, such as in a mobile app or web browser, without enforcing the same checks on the server. Attackers can bypass authentication by modifying the client to skip these checks entirely.

Relying on client-side authentication creates a critical security flaw because the attacker controls the client environment. They can easily decompile an app, inspect JavaScript, or use debugging tools to analyze and remove the authentication logic. Since the server blindly trusts the client's claim of being authenticated, this allows unauthorized access to protected functions and data. To prevent this, authentication must always be verified and enforced on the server. Every request for a protected resource or action should be validated server-side using a secure session or token that the client cannot forge. Treat all client-side code as inherently untrustworthy and ensure the server is the final authority on user identity and permissions.

Auswirkungen in der Praxis

Real-world CVEs caused by CWE-603

CVE-2022-33139

SCADA system only uses client-side authentication, allowing adversaries to impersonate other users.
CVE-2006-0230

Client-side check for a password allows access to a server using crafted XML requests from a modified client.

Wie Angreifer es ausnutzen

Angreiferpfad Schritt für Schritt

1
Identifiziere einen Codepfad, der nicht vertrauenswürdige Eingaben ohne Validierung verarbeitet.
2
Erzeuge eine Payload, die das unsichere Verhalten auslöst — Injection, Traversal, Overflow oder Logik-Missbrauch.
3
Liefere die Payload über einen normalen Request aus und beobachte die Reaktion der Anwendung.
4
Iteriere, bis die Antwort Daten preisgibt, Angreifer-Code ausführt oder Berechtigungen eskaliert.

Verwundbares Codebeispiel

Vulnerable pseudo

MITRE hat kein Codebeispiel für diese CWE veröffentlicht. Das untenstehende Muster ist illustrativ — kanonische Referenzen findest du unter Ressourcen.

Verwundbar pseudo

// Example pattern — see MITRE for the canonical references.
function handleRequest(input) {
  // Untrusted input flows directly into the sensitive sink.
  return executeUnsafe(input);
}

Sicheres Codebeispiel

Secure pseudo

Sicher pseudo

// Validate, sanitize, or use a safe API before reaching the sink.
function handleRequest(input) {
  const safe = validateAndEscape(input);
  return executeWithGuards(safe);
}

What changed: the unsafe sink is replaced (or the input is validated/escaped) so the same payload no longer triggers the weakness.

Präventions-Checkliste

How to prevent CWE-603

Architecture and Design Do not rely on client side data. Always perform server side authentication.

Erkennungssignale

How to detect CWE-603

SAST High

Führe statische Analyse (SAST) auf der Codebasis aus und suche im Datenfluss nach dem unsicheren Muster.

DAST Moderate

Führe dynamische Application-Security-Tests gegen den Live-Endpoint aus.

Runtime Moderate

Beobachte Runtime-Logs auf ungewöhnliche Exception-Traces, fehlerhafte Eingaben oder Versuche, Autorisierung zu umgehen.

Code review Moderate

Code Review: Markiere jeden neuen Code, der Eingaben von dieser Oberfläche ohne validierte Framework-Helper verarbeitet.

CWE-603

Don't catalog this weakness. Prove it's reachable.

Plexicus turns CWE catalogs into evidence: every CWE-pattern is matched against your real code graph, reach is proven on a sandbox clone, and verified findings ship as reviewed PRs.

Request AI Swarm Pentest

Häufig gestellte Fragen

Frequently asked questions

Was ist CWE-603?

This vulnerability occurs when an application places its authentication logic solely within the client-side code, such as in a mobile app or web browser, without enforcing the same checks on the server. Attackers can bypass authentication by modifying the client to skip these checks entirely.

Wie gravierend ist CWE-603?

MITRE hat für diese Schwachstelle keine Exploit-Wahrscheinlichkeit veröffentlicht. Behandle sie als mittlere Auswirkung, bis dein Threat Model anderes belegt.

Welche Sprachen oder Plattformen sind von CWE-603 betroffen?

MITRE lists the following affected platforms: ICS/OT.

Wie kann ich CWE-603 verhindern?

Do not rely on client side data. Always perform server side authentication.

Wie erkennt und behebt Plexicus CWE-603?

Die SAST-Engine von Plexicus erkennt die Datenfluss-Signatur von CWE-603 bei jedem Commit. Bei einem Treffer öffnet unser Codex-Remedium-Agent einen Fix-PR mit korrigiertem Code, Tests und einer einzeiligen Zusammenfassung für den Reviewer.

Wo erfahre ich mehr über CWE-603?

MITRE veröffentlicht die kanonische Definition unter https://cwe.mitre.org/data/definitions/603.html. Für ergänzende Hinweise kannst du auch die OWASP- und NIST-Dokumentation heranziehen.

Verwandte Schwachstellen

Weaknesses related to CWE-603

CWE-1390 Parent

Bereit zu validieren, was zählt.

Plexicus ist Proof-Driven AppSec: validierte Funde, kontextuelles Verständnis und geprüfte Remediation — in Evidenz verankert, mit Ihnen gescoped.

Pentest buchen

Use of Client-Side Authentication

What is CWE-603?

Real-world CVEs caused by CWE-603

Angreiferpfad Schritt für Schritt

Vulnerable pseudo

Secure pseudo

How to prevent CWE-603

How to detect CWE-603

Don't catalog this weakness. Prove it's reachable.

Frequently asked questions

Weaknesses related to CWE-603

Weak Authentication

Use of Weak Credentials

Not Using Password Aging

Password Aging with Long Expiration

Authentication Bypass by Alternate Name

Authentication Bypass by Spoofing

Authentication Bypass by Capture-replay

Reflection Attack in an Authentication Protocol

Authentication Bypass by Assumed-Immutable Data

Further reading

Bereit zu validieren, was zählt.

Prüfen Sie, ob AI Swarm Pentest zu Ihrer Umgebung passt.

Anfrage erhalten. Nächsten Schritt buchen.

Sample evidence handover

Server-Side Request Forgery in `webhooks/receiver`