Weaknesses of type CWE-288

747 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2026-19622HIGHIBM Planning Analytics Local is affected by security vulnerabilitiesEPSS 0.3%CVE-2026-22037HIGH@fastify/express vulnerable to Improper Handling of URL Encoding (Hex Encoding)EPSS 0.3%CVE-2026-22731HIGHAuthentication Bypass under Actuator Health groups pathsEPSS 0.3%CVE-2026-107671HIGHA vulnerability allowing an attacker with valid Administrator credentials to bypass multi-factor authentication by disabling it globally befEPSS 0.3%CVE-2026-56243HIGHCapgo - Hashed API Key Enforcement Bypass via PostgREST/RLS PlaneEPSS 0.3%CVE-2020-37156MEDIUMBloodX 1.0 - Authentication BypassEPSS 0.3%CVE-2025-67507HIGHFilament's multi-factor authentication (app) recovery codes can be used multiple timesEPSS 0.3%CVE-2026-79680MEDIUMAuthentication bypass vulnerability in the password authentication mechanism of the Qt VNC Server moduleEPSS 0.3%CVE-2026-25439HIGHWordPress Booknetic plugin < 5.10.3 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2022-31022MEDIUMMissing Role Based Access Control for the REST handlers in bleve/http packageEPSS 0.3%CVE-2025-64173HIGHApollo Router Core: Access Control Bypass on Polymorphic TypesEPSS 0.3%CVE-2020-10048—A vulnerability has been identified in SIMATIC PCS 7 (All versions), SIMATIC WinCC (All versions < V7.5 SP2). Due to an insecure password veEPSS 0.3%CVE-2026-19620HIGHIBM Planning Analytics Local is affected by security vulnerabilitiesEPSS 0.3%CVE-2023-20003MEDIUMCisco Business Wireless Access Points Social Login Guest User Authentication Bypass VulnerabilityEPSS 0.3%CVE-2026-22060MEDIUMCVE-2026-22060 Authentication Bypass Vulnerability in StorageGRID (formerly StorageGRID Webscale)EPSS 0.3%CVE-2026-73578—Apache OFBiz: Unauthenticated saved-view authorization bypass with RCE impactEPSS 0.3%CVE-2026-90481CRITICALIn PortSwigger Burp Suite DAST (formerly Burp Suite Enterprise Edition) before 2026.8, an authentication bypass can occur via an alternate pEPSS 0.3%CVE-2025-9914MEDIUMThe credentials of the users stored in the system's local database can be used for the log in, making it possible for an attacker to gain unEPSS 0.3%CVE-2026-58517MEDIUMBlocked users can create and edit WikiLambda objectsEPSS 0.3%CVE-2026-66451MEDIUMWordPress WP Event SOlution plugin <= 4.1.9 - Broken Authentication vulnerabilityEPSS 0.3%