Weaknesses of type CWE-288

747 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2026-31151CRITICALAn issue in the login mechanism of Kaleris YMS v7.2.2.1 allows attackers to bypass login verification to access the application 's resourcesEPSS 0.4%CVE-2025-61673HIGHKarapace is vulnerable to Authentication BypassEPSS 0.4%CVE-2026-39793HIGHWordPress Simple JWT Login plugin 4.0.0 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-119420HIGHLago through 1.55.0 Authentication Bypass via acceptInvite GraphQL MutationEPSS 0.4%CVE-2023-30946LOWIssues notification metadata lacks authorizationEPSS 0.4%CVE-2026-19572CRITICALFlexNet Publisher lmadmin SOAP Authentication Bypass VulnerabilityEPSS 0.4%CVE-2026-48970HIGHWordPress Really Simple SSL plugin <= 9.5.10 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2023-34335HIGHAMI BMC contains a vulnerability in the IPMI handler, where an unauthenticated host is allowed to write to a host SPI flash, bypassing securEPSS 0.4%CVE-2026-57980MEDIUMMicrosoft Edge (Chromium-based) Tampering VulnerabilityEPSS 0.4%CVE-2025-11984MEDIUMAuthentication Bypass Using an Alternate Path or Channel in GitLabEPSS 0.4%CVE-2026-42378MEDIUMWordPress WP Full Stripe Free plugin <= 8.4.1 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-66677HIGHWordPress Leyka plugin <= 3.32.3 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2025-47710HIGHEnterprise MFA - TFA for Drupal - Critical - Access bypass - SA-CONTRIB-2025-056EPSS 0.4%CVE-2020-5384HIGHAuthentication Bypass Vulnerability RSA MFA Agent 2.0 for Microsoft Windows contains an Authentication Bypass vulnerability. A local unautheEPSS 0.4%CVE-2025-3932MEDIUMTracking Links in Attachments Bypassed Remote Content BlockingEPSS 0.4%CVE-2026-82225HIGHWordPress RegistrationMagic plugin <= 6.0.9.8 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-84777HIGHWordPress Really Simple SSL plugin <= 9.8.0 - 2FA Bypass vulnerabilityEPSS 0.4%CVE-2026-39450HIGHWordPress FunnelKit Automations plugin <= 3.7.3 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-40785HIGHWordPress AutomatorWP plugin <= 5.6.7 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2023-20247MEDIUMA vulnerability in the remote access SSL VPN feature of Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense EPSS 0.4%