Weaknesses of type CWE-288

675 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2024-31814HIGHTOTOLINK EX200 V4.0.3c.7646_B20201211 allows attackers to bypass login through the Form_Login function.EPSS 8.3%CVE-2024-50477CRITICALWordPress Stacks Mobile App Builder plugin <= 5.2.3 - Account Takeover vulnerabilityEPSS 8.1%CVE-2025-24472HIGHAn Authentication Bypass Using an Alternate Path or Channel vulnerability [CWE-288] affecting FortiOS 7.0.0 through 7.0.16 and FortiProxy 7.EPSS 7.2%KEVCVE-2024-9989CRITICALCrypto <= 2.18 - Authentication Bypass via log_inEPSS 7.1%CVE-2023-2437CRITICALUserPro <= 5.1.1 - Authentication Bypass to AdministratorEPSS 6.7%CVE-2025-69985CRITICALFUXA 1.2.8 and prior contains an Authentication Bypass vulnerability leading to Remote Code Execution (RCE). The vulnerability exists in theEPSS 5.6%CVE-2026-19490CRITICALNetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-19490EPSS 5.6%CVE-2024-11639CRITICALAn authentication bypass in the admin web console of Ivanti CSA before 5.0.3 allows a remote unauthenticated attacker to gain administrativeEPSS 4.9%CVE-2018-5386—Some Navarino Infinity functions placed in the URL can bypass any authentication mechanism leading to an information leakEPSS 3.9%CVE-2023-2734CRITICALMStore API <= 3.9.1 - Authentication BypassEPSS 3.8%CVE-2025-0674CRITICALElber Communications Equipment Authentication Bypass Using an Alternate Path or ChannelEPSS 3.7%CVE-2025-49125HIGHApache Tomcat: Security constraint bypass for pre/post-resourcesEPSS 3.4%CVE-2021-28131—Impala logs contain secretsEPSS 3.3%CVE-2021-36308MEDIUMNetworking OS10, versions prior to October 2021 with Smart Fabric Services enabled, contains an authentication bypass vulnerability. A remotEPSS 3.3%CVE-2019-6551—Pangea Communications Internet FAX ATA all Versions 3.1.8 and prior allow an attacker to bypass user authentication using a specially crafteEPSS 3.3%CVE-2026-53576CRITICALKestra: Unauthenticated RCE via /configs path-suffix auth-filter bypassEPSS 3.2%CVE-2025-55338MEDIUMWindows BitLocker Security Feature Bypass VulnerabilityEPSS 3.1%CVE-2024-8943CRITICALLatePoint <= 5.0.12 - Authentication BypassEPSS 3.1%CVE-2018-17918—Circontrol CirCarLife all versions prior to 4.3.1, authentication to the device can be bypassed by entering the URL of a specific page.EPSS 3.0%CVE-2022-0992CRITICALSiteGround Security <= 1.2.5 - Authentication Bypass via 2FA SetupEPSS 2.9%