Weaknesses of type CWE-288

746 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2026-26117HIGHArc Enabled Servers - Azure Connected Machine Agent Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2024-9522HIGHWP Users Masquerade <= 2.0.0 - Authenticated (Subscriber+) Authentication BypassEPSS 0.5%CVE-2026-12225HIGHsyracom Secure Login (2FA) for Confluence allows 2FA bypass via spoofed User-AgentEPSS 0.5%CVE-2025-4973CRITICALWorkreap <= 3.3.1 - Authentication Bypass via 'workreap_verify_user_account'EPSS 0.5%CVE-2025-47244HIGHInedo ProGet through 2024.22 allows remote attackers to reach restricted functionality through the C# reflection layer, as demonstrated by cEPSS 0.5%CVE-2026-57697HIGHWordPress ProfileGrid plugin <= 5.9.9.6 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2025-10538HIGHAuthentication Bypass in LG Innotek CameraEPSS 0.5%CVE-2026-3461CRITICALVisa Acceptance Solutions <= 2.1.0 - Unauthenticated Authentication Bypass via Billing EmailEPSS 0.5%CVE-2025-4687HIGHAccount pre-hijacking through invite misuseEPSS 0.5%CVE-2026-33843CRITICALMicrosoft Azure Active Directory B2C Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2026-50191HIGH4gaBoards: Pre-Account Takeover via SSO Email LinkageEPSS 0.5%CVE-2025-64281CRITICALAn Authentication Bypass issue in CentralSquare Community Development 19.5.7 allows attackers to access the admin panel without admin credenEPSS 0.5%CVE-2025-60041HIGHWordPress Emails Catch All plugin <= 3.5.3 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2025-47941HIGHTYPO3 Has Broken Authentication in Backend MFAEPSS 0.5%CVE-2019-5453—Bypass lock protection in the Nextcloud Android app prior to version 3.3.0 allowed access to files when being prompted for the lock protectiEPSS 0.5%CVE-2026-91143MEDIUMgoproxy through 15.3 Authentication Bypass via CONNECTEPSS 0.5%CVE-2026-75045CRITICALIn JetBrains YouTrack before 2025.3.156085, 2026.1.13913, 2026.2.18112 an unauthenticated attacker could download database backups via shaEPSS 0.5%CVE-2024-36470HIGHIn JetBrains TeamCity before 2022.04.7, 2022.10.6, 2023.05.6, 2023.11.5 authentication bypass was possible in specific edge casesEPSS 0.5%CVE-2026-12579HIGHAS228T - Authentication Bypass VulnerabilityEPSS 0.5%CVE-2021-4373HIGHBetter Search <= 2.5.2 - Cross-Site Request Forgery to Settings ImportEPSS 0.5%