Weaknesses of type CWE-288

746 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2026-75627CRITICALBastillion Authentication Bypass via Path-Prefix Routing MismatchEPSS 0.8%CVE-2025-32976HIGHQuest KACE Systems Management Appliance (SMA) 13.0.x before 13.0.385, 13.1.x before 13.1.81, 13.2.x before 13.2.183, 14.0.x before 14.0.341 EPSS 0.8%CVE-2023-39930HIGHPingFederate PingID Radius PCV Authentication BypassEPSS 0.8%CVE-2026-43945HIGHFUXA Vulnerable to Pre-auth RCE via Path Manipulation & Configuration InjectionEPSS 0.8%CVE-2026-2775CRITICALMitigation bypass in the DOM: HTML Parser componentEPSS 0.8%CVE-2024-56044CRITICALWordPress WPLMS plugin <= 1.9.9 - Unauthenticated Arbitrary User Token Generation vulnerabilityEPSS 0.8%CVE-2020-1637HIGHJunos OS: SRX Series: Unified Access Control (UAC) bypass vulnerabilityEPSS 0.8%CVE-2026-14917HIGHKong API Gateway Enterprise: SAML Authentication bypassEPSS 0.8%CVE-2023-4702CRITICALAuthentication Bypass in Digital YepasEPSS 0.8%CVE-2024-9488CRITICALComments – wpDiscuz <= 7.6.24 - Authentication Bypass via WordPress.com OAuth providerEPSS 0.8%CVE-2024-5150CRITICALLogin with phone number <= 1.7.26 - Authentication Bypass due to Missing Empty Value CheckEPSS 0.8%CVE-2019-25763CRITICALWordPress Ultimate Addons for Beaver Builder 1.2.4.1 Authentication BypassEPSS 0.8%CVE-2021-41995HIGHPingID Mac Login prior to 1.1 vulnerable to pre-computed dictionary attacksEPSS 0.8%CVE-2026-104203HIGHTraccar: Authentication bypass via path parameters exposes protected device mediaEPSS 0.8%CVE-2025-53099MEDIUMSentry Missing Invalidation of Authorization Codes During OAuth Exchange and RevocationEPSS 0.8%CVE-2025-5397CRITICALJobmonster - Job Board WordPress Theme <= 4.8.1 - Authentication BypassEPSS 0.8%CVE-2024-4393CRITICALSocial Connect <= 1.2 - Authentication BypassEPSS 0.8%CVE-2025-10294CRITICALOwnID Passwordless Login <= 1.3.4 - Authentication BypassEPSS 0.8%CVE-2024-9501CRITICALWp Social Login and Register Social Counter <= 3.0.7 - Authentication Bypass via WordPress.com OAuth providerEPSS 0.8%CVE-2026-48020HIGHTraefik StripPrefix Route-Level Auth Bypass via Path NormalizationEPSS 0.8%