Weaknesses of type CWE-288

747 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2025-54725CRITICALWordPress Golo Theme <= 1.7.0 - Broken Authentication VulnerabilityEPSS 0.4%CVE-2025-10653HIGHRaise3D Pro2 Series 3D Printers Authentication Bypass Using an Alternate Path or ChannelEPSS 0.4%CVE-2026-84360HIGHNginx UI: OTP secure-session step-up can be bypassed via MCP configuration toolsEPSS 0.4%CVE-2025-64236CRITICALWordPress Tuturn plugin < 3.6 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2025-67998HIGHWordPress Miraculous Elementor plugin <= 2.0.7 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-116638HIGHThe Windows Recovery Environment (WinRE) in Windows 10 and 11 may allow an attacker to bypass firmware security controls, including administEPSS 0.4%CVE-2022-30623MEDIUMChcnav - P5E GNSS Authentication bypassEPSS 0.4%CVE-2026-81787MEDIUMWordPress IMPress for IDX Broker plugin <= 3.3.0 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-66425MEDIUMWordPress Gutena Forms – Contact Form, Survey Form, Feedback Form, Booking Form, and Custom Form Builder plugin <= 1.9.0 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-59524MEDIUMWordPress Easy Digital Downloads plugin <= 3.6.7 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-73399MEDIUMWordPress Flutterwave WooCommerce plugin <= 3.3.0 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-73398MEDIUMWordPress Piraeus Bank WooCommerce Payment Gateway plugin 3.2.0 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2022-3614MEDIUMIn affected versions of Octopus Deploy users of certain browsers using AD to sign-in to Octopus Server were able to bypass authentication chEPSS 0.4%CVE-2026-57134HIGHPraisonAI MCPSecurity Basic/OAuth authentication policies accept invalid credentials without validationEPSS 0.4%CVE-2026-63587HIGHSMS Password Authorization Bypass via Failed Attempt CounterEPSS 0.4%CVE-2025-51452CRITICALIn TOTOLINK A7000R firmware 9.1.0u.6115_B20201022, an attacker can bypass login by sending a specific request through formLoginAuth.htm.EPSS 0.4%CVE-2026-8321MEDIUMinkeep agents runAuth Middleware runAuth.ts createDevContext authentication bypassEPSS 0.4%CVE-2024-10284CRITICALCE21 Suite <= 2.2.0 - Authentication BypassEPSS 0.4%CVE-2026-22341MEDIUMWordPress Booked plugin <= 3.0.0 - Account Takeover vulnerabilityEPSS 0.4%CVE-2024-21491MEDIUMVersions of the package svix before 1.17.0 are vulnerable to Authentication Bypass due to an issue in the verify function where signatures oEPSS 0.4%