Weaknesses of type CWE-288

746 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2026-47481MEDIUMNVIDIA Triton Inference Server for Linux contains a vulnerability where an attacker can cause an authentication bypass through an alternativEPSS 0.4%CVE-2024-13446CRITICALWorkreap <= 3.2.5 - Unauthenticated Privilege Escalation via Account TakeoverEPSS 0.4%CVE-2024-13442CRITICALService Finder Bookings <= 5.0 - Unauthenticated Privilege Escalation via Account TakeoverEPSS 0.4%CVE-2026-33950CRITICALsignalk-server: Privilege Escalation by Admin Role Injection via /enableSecurityEPSS 0.4%CVE-2025-68895MEDIUMWordPress AhaChat Messenger Marketing plugin <= 1.1 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2025-1313HIGHNokri - Job Board WordPress Theme <= 1.6.3 - Authenticated (Subscriber+) Privilege Escalation via Account TakeoverEPSS 0.4%CVE-2026-25035CRITICALWordPress Contest Gallery plugin <= 28.1.2.2 - Account Takeover vulnerabilityEPSS 0.4%CVE-2026-1618HIGHAdmin Account Takeover in Universal Sotware's FlexCity/KioskEPSS 0.4%CVE-2024-12225CRITICALIo.quarkus:quarkus-security-webauthn: quarkus webauthn unexpected authentication bypassEPSS 0.4%CVE-2023-49564HIGHAuthentication BypassEPSS 0.4%CVE-2025-9313CRITICALUnauthorized database access in Asseco mMedicaEPSS 0.4%CVE-2025-9967CRITICALOrion SMS OTP Verification <= 1.1.7 - Authentication Bypass via Account TakeoverEPSS 0.4%CVE-2025-31512HIGHAn issue was discovered in AlertEnterprise Guardian 4.1.14.2.2.1. One can bypass manager approval via isAddedByApprover in a Request%20BuildEPSS 0.4%CVE-2026-42668HIGHWordPress Email Marketing for WooCommerce by Omnisend plugin <= 1.18.0 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-56029HIGHWordPress CorvusPay WooCommerce Payment Gateway plugin <= 2.7.4 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2025-67915HIGHWordPress Timetics plugin <= 1.0.46 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2025-47707HIGHEnterprise MFA - TFA for Drupal - Moderately critical - Access bypass - SA-CONTRIB-2025-053EPSS 0.4%CVE-2025-54738CRITICALWordPress Jobmonster Theme <= 4.7.9 - Broken Authentication VulnerabilityEPSS 0.4%CVE-2025-54725CRITICALWordPress Golo Theme <= 1.7.0 - Broken Authentication VulnerabilityEPSS 0.4%CVE-2025-62064CRITICALWordPress Search & Go theme <= 2.7 - Broken Authentication vulnerabilityEPSS 0.4%