Weaknesses of type CWE-288

746 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2025-69101CRITICALWordPress Workreap Core plugin <= 3.4.1 - Broken Authentication vulnerabilityEPSS 0.6%CVE-2026-66465CRITICALWordPress Cartify theme <= 1.3.0.1 - Account Takeover vulnerabilityEPSS 0.6%CVE-2026-62101CRITICALWordPress EduAdmin Booking plugin <= 5.4.2 - Broken Authentication vulnerabilityEPSS 0.6%CVE-2026-66453CRITICALWordPress Salon booking system plugin <= 10.30.26 - Broken Authentication vulnerabilityEPSS 0.6%CVE-2026-74001CRITICALWordPress User Registration & Membership Pro plugin <= 5.4.5 - Account Takeover vulnerabilityEPSS 0.6%CVE-2025-7444CRITICALLoginPress Pro <= 5.0.1 - Authentication Bypass via WordPress.com OAuth providerEPSS 0.6%CVE-2025-31019HIGHWordPress Password Policy Manager plugin <= 2.0.4 - Account Takeover vulnerabilityEPSS 0.6%CVE-2024-2012CRITICALvulnerability exists in the FOXMAN-UN/UNEM server / API Gateway that if exploited an attacker could use to allow unintended commands or codEPSS 0.6%CVE-2024-6684CRITICALAuthentication Bypass in GST Electronics' inohom Nova Panel N7EPSS 0.6%CVE-2026-57867HIGHMicroRealEstate allows adversaries to bypass authentication due to a lack of token state management. This would permit adversaries targetingEPSS 0.6%CVE-2026-2791CRITICALMitigation bypass in the Networking: Cache componentEPSS 0.6%CVE-2026-2096CRITICALFlowring｜Agentflow - Missing AuthenticatonEPSS 0.6%CVE-2024-37893MEDIUMMFA bypass in oauth flow in Firefly IIIEPSS 0.6%CVE-2025-63217CRITICALThe Itel DAB MUX (IDMUX build c041640a) is vulnerable to Authentication Bypass due to improper JWT validation across devices. Attackers can EPSS 0.6%CVE-2023-46319—WALLIX Bastion 9.x before 9.0.9 and 10.x before 10.0.5 allows unauthenticated access to sensitive information by bypassing access control onEPSS 0.6%CVE-2025-1283CRITICALDingtian DT-R0 Series Authentication Bypass Using an Alternate Path or ChannelEPSS 0.6%CVE-2025-1717HIGHLogin Me Now <= 1.7.2 - Authentication BypassEPSS 0.6%CVE-2025-46412CRITICALVertiv Liebert RDU101 and UNITY Authentication Bypass Using an Alternate Path or ChannelEPSS 0.6%CVE-2024-5204HIGHSwiss Toolkit For WP <= 1.0.7 - Authenticated (Contributor+) Authentication BypassEPSS 0.6%CVE-2026-24206HIGHNVIDIA Triton Inference Server contains a vulnerability where an attacker could cause an authentication bypass. A successful exploit of thisEPSS 0.6%