Weaknesses of type CWE-288

746 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2024-47574HIGHA authentication bypass using an alternate path or channel in Fortinet FortiClientWindows version 7.4.0, versions 7.2.4 through 7.2.0, versiEPSS 0.5%CVE-2026-67337HIGHbetter-auth before 1.4.9 Two-Factor Authentication Bypass via session.cookieCacheEPSS 0.5%CVE-2026-86084MEDIUMn8n: Disabled OIDC SSO Endpoints Remain Active and Issue Valid SessionsEPSS 0.5%CVE-2026-70468HIGHA authentication bypass using an alternate path or channel vulnerability in Fortinet FortiManager 7.6.1, FortiManager 7.4.3 through 7.4.5, FEPSS 0.5%CVE-2025-0549MEDIUMAuthentication Bypass Using an Alternate Path or Channel in GitLabEPSS 0.5%CVE-2025-2080CRITICALAuthentication Bypass Using an Alternate Path or Channel in Optigo Networks Visual BACnet Capture Tool / Optigo Visual Networks Capture ToolEPSS 0.5%CVE-2026-59545HIGHWordPress miniOrange Discord Integration plugin <= 2.2.4 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2025-10484CRITICALRegistration & Login with Mobile Phone Number for WooCommerce <= 1.3.1 - Authentication BypassEPSS 0.5%CVE-2024-1525MEDIUMAuthentication Bypass Using an Alternate Path or Channel in GitLabEPSS 0.4%CVE-2025-5955HIGHService Finder SMS System <= 2.0.0 - Authentication BypassEPSS 0.4%CVE-2026-107194CRITICALSungrow iSolarCloud before 2026-08-25 allows authentication bypass and account takeover via "login_type":"5" in a login request, potentiallyEPSS 0.4%CVE-2026-33543CRITICALFOSSBilling: Authentication bypass allows unauthenticated administrator creationEPSS 0.4%CVE-2025-68707HIGHAn authentication bypass vulnerability in the Tongyu AX1800 Wi-Fi 6 Router with firmware 1.0.0 allows unauthenticated network-adjacent attacEPSS 0.4%CVE-2025-34251HIGHTesla Telematics Control Unit (TCU) < v2025.14 Authentication BypassEPSS 0.4%CVE-2022-23724MEDIUMPingID Integration for Windows Login MFA BypassEPSS 0.4%CVE-2024-10311HIGHExternal Database Based Actions <= 0.1 - Authenticated (Subscriber+) Authentication BypassEPSS 0.4%CVE-2025-29996HIGHAuthentication Bypass Vulnerability in CAP back office applicationEPSS 0.4%CVE-2025-50904CRITICALThere is an authentication bypass vulnerability in WinterChenS my-site thru commit 6c79286 (2025-06-11). An attacker can exploit this vulnerEPSS 0.4%CVE-2024-35151MEDIUMIBM OpenPages information disclosureEPSS 0.4%CVE-2024-13771CRITICALCivi - Job Board & Freelance Marketplace WordPress Theme <= 2.1.4 - Authentication Bypass via Password UpdateEPSS 0.4%