Weaknesses of type CWE-288

747 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2026-40790MEDIUMWordPress WP SMS plugin <= 7.2.1 - Sensitive Data Exposure vulnerabilityEPSS 0.3%CVE-2026-63493HIGHSnipe-IT: 2FA bypass via the API token flowEPSS 0.3%CVE-2026-58073CRITICALA vulnerability in Veeam Service Provider Console allowing an unauthenticated attacker to impersonate a managed agent andobtain that agent'sEPSS 0.3%CVE-2025-48011MEDIUMOne Time Password - Moderately critical - Access bypass - SA-CONTRIB-2025-062EPSS 0.3%CVE-2026-83787MEDIUMWindows DHCP Server Security Feature Bypass VulnerabilityEPSS 0.3%CVE-2026-123618HIGHABP Framework before 10.7.1 Authentication Bypass via External Login ProviderEPSS 0.3%CVE-2026-88260HIGHAuthentication bypass using an alternate path or channel and Improper validation of syntactic correctness of input vulnerability in BrainzcoEPSS 0.3%CVE-2025-10571CRITICALABB Ability Edgenius Authentication BypassEPSS 0.3%CVE-2026-81168LOWCAPTCHA Protected Page - Moderately critical - Cookie Forgery - SA-CONTRIB-2026-105EPSS 0.3%CVE-2017-6871—A vulnerability was discovered in Siemens SIMATIC WinCC Sm@rtClient for Android (All versions before V1.0.2.2) and SIMATIC WinCC Sm@rtClientEPSS 0.3%CVE-2025-15102CRITICALDVP-12SE11T - Password Protection BypassEPSS 0.3%CVE-2026-32004HIGHOpenClaw < 2026.3.2 - Authentication Bypass via Encoded Path in /api/channels RouteEPSS 0.3%CVE-2026-42629HIGHWordPress PowerPack Pro for Elementor plugin < v2.13.0 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2026-3035MEDIUMAuthentication Bypass Using an Alternate Path or Channel in GitLabEPSS 0.3%CVE-2026-33315MEDIUMVikunja has a 2FA Bypass via Caldav Basic AuthEPSS 0.3%CVE-2025-55623MEDIUMAn issue in the lock screen component of Reolink v4.54.0.4.20250526 allows attackers to bypass authentication via using an ADB (Android DebuEPSS 0.3%CVE-2026-42303MEDIUMFides: Privacy Request Identity Verification Bypass Vulnerability via Duplicate DetectionEPSS 0.3%CVE-2026-40799MEDIUMWordPress Simple Cloudflare Turnstile plugin <= 1.38.0 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2026-84923MEDIUMEmail Verification / SMS Verification / OTP Verification - Critical - Access Bypass - SA-CONTRIB-2026-124EPSS 0.3%CVE-2026-6771CRITICALMitigation bypass in the DOM: Security componentEPSS 0.3%