Weaknesses of type CWE-288

746 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2026-24359HIGHWordPress Dokan plugin <= 4.2.4 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2025-70082MEDIUMLantronix EDS3000PS Unverified Password ChangeEPSS 0.5%CVE-2026-22205HIGHSPIP < 4.4.10 Authentication Bypass via PHP Type JugglingEPSS 0.5%CVE-2024-50486CRITICALWordPress Acnoo Flutter API plugin <= 1.0.5 - Account Takeover vulnerabilityEPSS 0.5%CVE-2024-50487CRITICALWordPress MaanStore API plugin <= 1.0.1 - Account Takeover vulnerabilityEPSS 0.5%CVE-2024-49604CRITICALWordPress Simple User Registration plugin <= 6.7 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2025-24846HIGHAuthentication bypass vulnerability exists in FutureNet AS series (Industrial Routers) provided by Century Systems Co., Ltd. If this vulneraEPSS 0.5%CVE-2024-49247CRITICALWordPress BuddyPress Better Registration plugin <= 1.6 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2026-68584CRITICALSiYuan before v3.7.3 Authentication Bypass via Content EndpointsEPSS 0.5%CVE-2024-50489CRITICALWordPress Realty Workstation plugin <= 1.0.45 - Account Takeover vulnerabilityEPSS 0.5%CVE-2026-27390HIGHWordPress WeDesignTech Ultimate Booking Addon plugin <= 1.0.1 - Account Takeover vulnerabilityEPSS 0.5%CVE-2026-22049HIGHONTAP versions 9.16.1 and higher with WebAuthn multi-factor authentication (MFA) configured are susceptible to a vulnerability related to thEPSS 0.5%CVE-2026-76169HIGHfastify vulnerable to authentication bypass via malformed URLs reaching encapsulated not-found handlersEPSS 0.5%CVE-2026-89067HIGHMOVEit Transfer Secure Messaging Authentication BypassEPSS 0.5%CVE-2024-10438HIGHSunnet eHRD CTMS - Authentication BypassEPSS 0.5%CVE-2025-0749HIGHHomey <= 2.4.3 - Limited Authentication Bypass due to Missing Empty Value CheckEPSS 0.5%CVE-2026-115644HIGHApache Kafka: Connect Admin REST API Authentication Bypass via Unapplied REST ExtensionsEPSS 0.5%CVE-2026-88861HIGHCapgo AAL1 Session MFA Bypass via Direct RBAC AuthorizationEPSS 0.5%CVE-2021-43718MEDIUMAn Authentication Bypass vulnerability exists in EPSON EH-TW5350 EPSON 150075647YWWV110, which could let a remote malicious user cause a DenEPSS 0.5%CVE-2025-30184CRITICALCyberData 011209 SIP Emergency Intercom Authentication Bypass Using an Alternate Path or ChannelEPSS 0.5%