Weaknesses of type CWE-288

747 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2026-41308MEDIUMPassword Pusher: JSON API `/p.json` file upload alias bypasses file-push authenticationEPSS 0.3%CVE-2026-35664MEDIUMOpenClaw < 2026.3.25 - DM Pairing Bypass via Legacy Card CallbacksEPSS 0.3%CVE-2026-6768CRITICALMitigation bypass in the Networking: Cookies componentEPSS 0.3%CVE-2026-71450HIGHAuthentication bypass using an alternate path or channel vulnerability in Johnson Controls EasyIO Neo EC and CW Edge Controller allows AutheEPSS 0.3%CVE-2024-13772MEDIUMCivi - Job Board & Freelance Marketplace WordPress Theme <= 2.1.6.1 - Authentication BypassEPSS 0.3%CVE-2026-0602MEDIUMAuthentication Bypass Using an Alternate Path or Channel in GitLabEPSS 0.3%CVE-2026-25002HIGHWordPress LearnPress – Sepay Payment plugin <= 4.0.0 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2025-58133MEDIUMZoom Rooms Clients - Authentication BypassEPSS 0.3%CVE-2026-85865MEDIUMWindows DHCP Server Security Feature Bypass VulnerabilityEPSS 0.3%CVE-2026-29139HIGHGINA State Confusion Account TakeoverEPSS 0.3%CVE-2026-6760CRITICALMitigation bypass in the Networking: Cookies componentEPSS 0.3%CVE-2026-123746LOWSymfony: Programmatic Logins Skip the checkPostAuth() Method of User CheckersEPSS 0.3%CVE-2026-96385MEDIUMREST & JSON API Authentication for Drupal - Moderately critical - Access bypass - SA-CONTRIB-2026-182EPSS 0.3%CVE-2026-36028MEDIUMA protection mechanism failure in the Code 27 Companion Hub allows an attacker with physical access to completely bypass kiosk restrictions EPSS 0.3%CVE-2026-3214MEDIUMCAPTCHA - Moderately critical - Access bypass - SA-CONTRIB-2026-015EPSS 0.3%CVE-2026-55186MEDIUMSilverstripe MFA: Can bypass MFA during password reset flowEPSS 0.3%CVE-2026-41059HIGHOAuth2 Proxy has an Authentication Bypass via Fragment Confusion in skip_auth_routes and skip_auth_regexEPSS 0.3%CVE-2025-13018HIGHMitigation bypass in the DOM: Security componentEPSS 0.3%CVE-2026-58269HIGHSync-in Server has a complete 2FA Bypass via `POST /api/auth/token`EPSS 0.3%CVE-2026-54804HIGHWordPress Melhor Envio plugin <= 2.16.3 - Broken Authentication vulnerabilityEPSS 0.3%