Weaknesses of type CWE-287

2,850 results

Falha na autenticação ou verificação insuficiente de identidade

Quando um usuário, sistema ou aplicação afirma ser alguém (ou algo), o software não valida adequadamente essa identidade antes de conceder acesso ou executar ações sensíveis. O risco é claro: um atacante se passa por outra pessoa e obtém privilégios ou dados que não deveria ter.

Example

Um app que aceita um token JWT sem verificar a assinatura, confiando apenas no nome de usuário no payload. Um atacante modifica o token para elevar seu nível de acesso e o sistema acredita, pois nunca validou a autenticidade real do token.

How to mitigate

Implemente autenticação robusta: valide credenciais em backend seguro, use protocolos padrão (OAuth 2.0, SAML, Kerberos), verifique integridade de tokens (assinatura criptográfica), implemente MFA para operações críticas e nunca confie em dados do cliente sem validação no servidor.

CVE-2026-90524MEDIUMjaychouchannel Tourism-Management-System Update Endpoint missing authenticationEPSS 0.7%CVE-2025-55171HIGHWeGIA Anonymous Attacker can Delete Arbitrary Image file at endpoint `/html/personalizacao_remover.php`EPSS 0.7%CVE-2026-90601MEDIUMgetzep graphiti REST API main.py improper authenticationEPSS 0.7%CVE-2026-84423MEDIUMCasdoor upload-resource API resource.go missing authenticationEPSS 0.7%CVE-2023-3337HIGHPuneethReddyHC Online Shopping System Advanced Admin Registration reg.php improper authenticationEPSS 0.7%CVE-2026-81202MEDIUMitsourcecode Payroll System CRUD Operation ajax.php delete missing authenticationEPSS 0.7%CVE-2024-25699HIGHPortal for ArcGIS has an invalid authentication vulnerabilityEPSS 0.7%CVE-2025-15455MEDIUMbg5sbk MiniCMS File Recovery Request page.php delete_page improper authenticationEPSS 0.7%CVE-2026-14378CRITICALDevKit Pro <= 2.3.0 - Unauthenticated Authentication Bypass to Administrator Account Takeover via 'original_user_id' Cookie in Frontend Revert Switch FlowEPSS 0.7%CVE-2026-13447CRITICALMStore API <= 4.20.0 - Unauthenticated Authentication Bypass via 'id_token' Parameter JWT ForgeryEPSS 0.7%CVE-2024-10097HIGHLoginizer Security and Loginizer <= 1.9.2 - Authentication Bypass via WordPress.com OAuth providerEPSS 0.7%CVE-2020-36832CRITICALIndeed Membership Pro 7.3 - 8.6 - Authentication BypassEPSS 0.7%CVE-2026-86669MEDIUMaircheng-org iWebShop-5 systemseller.php login improper authenticationEPSS 0.7%CVE-2023-51442HIGHAuthentication bypass vulnerability in navidrome's subsonic endpointEPSS 0.7%CVE-2026-14622MEDIUMjairiidriss restaurant-website-php-mysql AJAX Endpoint ajax_files missing authenticationEPSS 0.7%CVE-2026-62896CRITICALMicrosoft Teams Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2026-26128HIGHWindows SMB Server Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2026-112427HIGHAn authentication issue was addressed with improved state management. This issue is fixed in macOS Golden Gate 27.2. A remote attacker may bEPSS 0.7%CVE-2023-23460CRITICALPriority Web – Authentication bypass EPSS 0.7%CVE-2026-15557MEDIUMwaooAI waoowaoo Internal Task Header api-auth.ts requireProjectAuthLight improper authenticationEPSS 0.7%