Weaknesses of type CWE-287

2,860 results

Falha na autenticação ou verificação insuficiente de identidade

Quando um usuário, sistema ou aplicação afirma ser alguém (ou algo), o software não valida adequadamente essa identidade antes de conceder acesso ou executar ações sensíveis. O risco é claro: um atacante se passa por outra pessoa e obtém privilégios ou dados que não deveria ter.

Example

Um app que aceita um token JWT sem verificar a assinatura, confiando apenas no nome de usuário no payload. Um atacante modifica o token para elevar seu nível de acesso e o sistema acredita, pois nunca validou a autenticidade real do token.

How to mitigate

Implemente autenticação robusta: valide credenciais em backend seguro, use protocolos padrão (OAuth 2.0, SAML, Kerberos), verifique integridade de tokens (assinatura criptográfica), implemente MFA para operações críticas e nunca confie em dados do cliente sem validação no servidor.

CVE-2026-127281MEDIUMlanyulei ferry JWT Validation auth.go improper authenticationEPSS —CVE-2026-76792HIGHUser Verification 2.0.38 - 2.0.48 - Unauthenticated Account Takeover via Unthrottled OTP Login VerificationEPSS —CVE-2026-127273MEDIUMLinksys EA8100 JNAP API IsAdminPasswordDefault missing authenticationEPSS —CVE-2026-126815HIGHPre-account hijacking via planted passwordEPSS —CVE-2026-126157CRITICALA improper authentication vulnerability in Fortinet FortiMail 8.0.0 through 8.0.1, FortiMail 7.6.0 through 7.6.6, FortiMail 7.4.0 through 7.EPSS —CVE-2026-127279MEDIUMAIP-PUB ACPs-community Discovery Server main.py missing authenticationEPSS —CVE-2026-126759MEDIUMH3C ICG2000 Unified Communication Gateway Web Management check.j missing authenticationEPSS —CVE-2026-118412LOWApache Roller: Disabled accounts can sign in through OpenIDEPSS —CVE-2026-110959CRITICALDescope < 1.2.0 - Unauthenticated Account TakeoverEPSS —CVE-2026-127278MEDIUMAIP-PUB ACPs-community verify-code Endpoint service_auth.py send_verification_code improper authenticationEPSS —CVE-2026-126795MEDIUMToolJet Onboarding Signup Endpoint util.service.ts activateUserWithPassword missing authenticationEPSS —CVE-2026-126768CRITICALOpsTree REMS through 1.0.0 Authentication Bypass via is_local_auth FlagEPSS —CVE-2026-123872HIGHNode.js is vulnerable to a client certificate authentication bypass via TLS 1.2 renegotiation servername changeEPSS —CVE-2026-126777CRITICALTraccar 3.15 before 6.17.0 Authentication Bypass via Empty LDAP PasswordEPSS —CVE-2026-0328LOWPAN-OS: User Impersonation through GlobalProtect PortalEPSS —CVE-2026-103883HIGH6Storage Rentals <= 2.31.0 - Authenticated (Subscriber+) Authentication Bypass to Administrator Account Takeover via 'six_storage_online_api_url' Option Poisoning + Transient-Backed Auth BypassEPSS —CVE-2026-119040HIGHDefender Security < 6.4.1 - 2FA Bypass via Unthrottled OTP VerificationEPSS —CVE-2026-126160HIGHA improper authentication vulnerability in Fortinet FortiMail 8.0.0 through 8.0.1, FortiMail 7.6.0 through 7.6.6, FortiMail 7.4.0 through 7.EPSS —CVE-2026-127275CRITICALLinksys EA8100 JNAP API ui_server.lua SetUnsecuredWiFiWarning missing authenticationEPSS —CVE-2026-107152HIGHRubygem-smart_proxy_dynflow: dynflow console authorizes any client certificate the capsule ca signedEPSS —