Weaknesses of type CWE-288

675 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2026-22037HIGH@fastify/express vulnerable to Improper Handling of URL Encoding (Hex Encoding)EPSS 0.4%CVE-2022-36249MEDIUMShop Beat Services Vulnerable To Bypass 2FA via APIsEPSS 0.4%CVE-2026-57698MEDIUMWordPress Abandoned Cart Recovery for WooCommerce plugin <= 1.1.12 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2023-31152MEDIUMAuthentication Bypass Using an Alternate Path or ChannelEPSS 0.4%CVE-2026-1779HIGHUser Registration & Membership <= 5.1.2 - Authentication BypassEPSS 0.4%CVE-2026-45217MEDIUMWordPress Stripe Payment Gateway for WooCommerce plugin <= 5.0.7 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-1241HIGHAuthentication Bypass Using an Alternate Path or Channel in Pelco, Inc. Sarix Pro 3 Series IP CamerasEPSS 0.3%CVE-2025-24206HIGHAn authentication issue was addressed with improved state management. This issue is fixed in iOS 18.4 and iPadOS 18.4, iPadOS 17.7.6, macOS EPSS 0.3%CVE-2025-8093HIGHAuthenticator Login - Moderately critical - Access bypass - SA-CONTRIB-2025-098EPSS 0.3%CVE-2026-16639CRITICALInternationalization Single Sign-On - Critical - Access bypass - SA-CONTRIB-2026-081EPSS 0.3%CVE-2025-22230HIGHAuthentication bypass vulnerabilityEPSS 0.3%CVE-2025-67507HIGHFilament's multi-factor authentication (app) recovery codes can be used multiple timesEPSS 0.3%CVE-2026-23480MEDIUMBlinko: Low Privilege User Privilege Escalation - upsertUser EndpointEPSS 0.3%CVE-2026-25357HIGHWordPress Ultimate Membership Pro plugin <= 13.7 - Account Takeover vulnerabilityEPSS 0.3%CVE-2025-66238HIGHSunbird DCIM dcTrack and Power IQ Authentication Bypass Using an Alternate Path or ChannelEPSS 0.3%CVE-2026-25406HIGHWordPress Tutor LMS Pro plugin <= 3.9.4 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2024-44286HIGHThis issue was addressed through improved state management. This issue is fixed in macOS Sequoia 15.1. An attacker with physical access can EPSS 0.3%CVE-2026-30777MEDIUMEC-CUBE provided by EC-CUBE CO.,LTD. contains a multi-factor authentication (MFA) bypass vulnerability. An attacker who has obtained a validEPSS 0.3%CVE-2025-12466HIGHSimple OAuth (OAuth2) & OpenID Connect - Critical - Access bypass - SA-CONTRIB-2025-114EPSS 0.3%CVE-2020-10048—A vulnerability has been identified in SIMATIC PCS 7 (All versions), SIMATIC WinCC (All versions < V7.5 SP2). Due to an insecure password veEPSS 0.3%