Weaknesses of type CWE-288

746 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2025-1515CRITICALWP Real Estate Manager <= 2.8 - Authentication Bypass via Account TakeoverEPSS 0.6%CVE-2025-6388CRITICALSpirit Framework <= 1.2.14 - Authentication Bypass to Account Takeover and Privilege EscalationEPSS 0.6%CVE-2024-10002HIGHRover IDX <= 3.0.0.2905 - Authenticated (Subscriber+) Authentication Bypass to AdministratorEPSS 0.6%CVE-2025-11522CRITICALSearch & Go - Directory WordPress Theme <= 2.7 - Authentication Bypass to Privilege Escalation via Account TakeoverEPSS 0.6%CVE-2025-7692HIGHOrion Login with SMS <= 1.0.5 - Authentication Bypass via Weak OTPEPSS 0.6%CVE-2026-82269HIGHGophish Account Lockout and Forced Password Change Bypassable via API KeyEPSS 0.6%CVE-2025-45607CRITICALAn issue in the component /manage/ of itranswarp v2.19 allows attackers to bypass authentication via a crafted request.EPSS 0.5%CVE-2024-31916HIGHIBM OpenBMC information disclosureEPSS 0.5%CVE-2024-13553CRITICALSMS Alert Order Notifications – WooCommerce <= 3.7.9 - Unauthenticated Account Takeover/Privilege EscalationEPSS 0.5%CVE-2026-73381CRITICALWordPress Popup by Supsystic plugin <= 1.13.0 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2026-49767CRITICALWordPress wpForo Forum plugin <= 3.1.0 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2026-30079CRITICALIn OpenAirInterface V2.2.0 AMF, Out of sequence messages causes incorrect state transition during UE registration procedure. This allows autEPSS 0.5%CVE-2026-27049CRITICALWordPress Jobica Core plugin <= 1.4.2 - Account Takeover vulnerabilityEPSS 0.5%CVE-2026-63190CRITICALFearlessCMS: Unauthenticated debug scripts expose filesystem operations and XSSEPSS 0.5%CVE-2026-65641CRITICALA vulnerability allowing an unauthenticated network attacker to coerce SMB authentication from the service account.EPSS 0.5%CVE-2024-11981HIGHBillion Electric router - Authentication BypassEPSS 0.5%CVE-2025-47461HIGHWordPress Subaccounts for WooCommerce plugin <= 1.6.6 - Account Takeover vulnerabilityEPSS 0.5%CVE-2026-5415HIGHWP Captcha PRO <= 5.38 - Authenticated (Subscriber+) Authentication Bypass via Temporary Login LinkEPSS 0.5%CVE-2025-68620CRITICALSignal K Server vulnerable to JWT Token Theft via WebSocket Enumeration and Unauthenticated PollingEPSS 0.5%CVE-2025-68860CRITICALWordPress Mobile builder plugin <= 1.4.2 - Broken Authentication vulnerabilityEPSS 0.5%