Weaknesses of type CWE-288

747 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2025-10531MEDIUMMitigation bypass in the Web Compatibility: Tooling componentEPSS 0.3%CVE-2025-13475LOWCross-Tenant Access via Application Consent Mismanagement in Multiple WSO2 Products Allows Unauthorized Data ExposureEPSS 0.3%CVE-2025-13980MEDIUMCKEditor 5 Premium Features - Moderately critical - Access bypass - SA-CONTRIB-2025-118EPSS 0.3%CVE-2026-11731MEDIUMAuthentication Bypass Vulnerability in Certain NETGEAR RAX Series ModelsEPSS 0.3%CVE-2026-1747MEDIUMAuthentication Bypass Using an Alternate Path or Channel in GitLabEPSS 0.3%CVE-2024-8012HIGHAn authentication bypass weakness in the message broker service of Ivanti Workspace Control before version 2025.2 (10.19.0.0) allows a localEPSS 0.3%CVE-2025-32357MEDIUMIn Zammad 6.4.x before 6.4.2, an authenticated agent with knowledge base permissions was able to use the Zammad API to fetch knowledge base EPSS 0.3%CVE-2026-34372MEDIUMSulu checks fix permissions for subentities endpointsEPSS 0.3%CVE-2026-40780HIGHWordPress BookIt plugin < 2.5.4.1 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2026-62038HIGHWordPress eRoom plugin <= 1.7.1 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2026-96387LOWStop administrator login - Moderately critical - Access bypass - SA-CONTRIB-2026-183EPSS 0.3%CVE-2025-48926MEDIUMThe admin panel in the TeleMessage service through 2025-05-05 allows attackers to discover usernames, e-mail addresses, passwords, and telepEPSS 0.3%CVE-2026-22058CRITICALCVE-2026-22058 Authentication Bypass Vulnerability in StorageGRID (formerly StorageGRID Webscale)EPSS 0.3%CVE-2026-20459MEDIUMIn Modem, there is a possible system crash due to improper input validation. This could lead to remote denial of service, if a UE has connecEPSS 0.3%CVE-2025-40761HIGHA vulnerability has been identified in RUGGEDCOM ROX MX5000 (All versions), RUGGEDCOM ROX MX5000RE (All versions), RUGGEDCOM ROX RX1400 (AllEPSS 0.3%CVE-2026-20460MEDIUMIn Modem, there is a possible information disclosure due to improper input validation. This could lead to remote information disclosure, if EPSS 0.3%CVE-2025-40743HIGHA vulnerability has been identified in SINUMERIK 828D PPU.4 (All versions < V4.95 SP5), SINUMERIK 828D PPU.5 (All versions < V5.25 SP1), SINEPSS 0.3%CVE-2025-48010MEDIUMOne Time Password - Moderately critical - Access bypass - SA-CONTRIB-2025-061EPSS 0.3%CVE-2025-26700MEDIUMAuthentication bypass using an alternate path or channel issue exists in ”RoboForm Password Manager" App for Android versions prior to 9.7.4EPSS 0.3%CVE-2026-42300CRITICALDevGuard: Unauthenticated identity assertion via `X-Admin-Token` headerEPSS 0.3%