Weaknesses of type CWE-288

747 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2026-100518MEDIUMWordPress Advanced Google reCAPTCHA plugin <= 5.40 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2026-42735HIGHWordPress KiviCare plugin <= 4.3.0 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2026-3531MEDIUMOpenID Connect / OAuth client - Moderately critical - Access bypass - SA-CONTRIB-2026-026EPSS 0.3%CVE-2026-4320CRITICALAuthorization Bypass in ICMS Content Management by Creartia Internet ConsultingEPSS 0.3%CVE-2026-54817MEDIUMWordPress MStore API plugin <= 4.18.4 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2025-22862MEDIUMAn Authentication Bypass Using an Alternate Path or Channel vulnerability [CWE-288] in FortiOS 7.4.0 through 7.4.7, 7.2.0 through 7.2.11, 7.EPSS 0.3%CVE-2024-38279MEDIUMAuthentication Bypass Using an Alternate Path or Channel in Motorola Solutions Vigilant Fixed LPR Coms Box (BCAV1F2-C600)EPSS 0.3%CVE-2026-42749HIGHWordPress Disable Comments for Any Post Types (Remove comments) plugin <= 1.3.0 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2026-81868MEDIUMSteeltoe: Header-forwarded client cert lacks proof of private-key possessionEPSS 0.3%CVE-2026-45577MEDIUMNeotoma: Unauthenticated Inspector/API access via reverse-proxy loopback auth bypassEPSS 0.2%CVE-2022-23720HIGHPingID Windows Login prior to 2.8 does not alert or halt operation if it has been provisioned with the full permissions PingID properties fileEPSS 0.2%CVE-2026-114539MEDIUMDocCheck Basic - Moderately critical - Access bypass - SA-CONTRIB-2026-237EPSS 0.2%CVE-2026-118681MEDIUMgo-chi chi before 5.5.0 Authentication Bypass via SupressNotFound MiddlewareEPSS 0.2%CVE-2026-93949HIGHWordPress Grocery Shopping Store theme <= 1.3.3 - Broken Authentication vulnerabilityEPSS 0.2%CVE-2026-57775MEDIUMWordPress Simple Cloudflare Turnstile plugin <= 1.44.1 - Broken Authentication vulnerabilityEPSS 0.2%CVE-2025-13986MEDIUMDisable Login Page - Critical - Access bypass - SA-CONTRIB-2025-124EPSS 0.2%CVE-2026-42745HIGHWordPress Smart Online Order for Clover plugin <= 1.6.0 - Broken Authentication vulnerabilityEPSS 0.2%CVE-2026-50194HIGHSteeltoe vulnerable to management-port isolation bypass via spoofed Host headerEPSS 0.2%CVE-2026-35654MEDIUMOpenClaw < 2026.3.25 - Authorization Bypass in Microsoft Teams Feedback InvokeEPSS 0.2%CVE-2025-6675MEDIUMEnterprise MFA - TFA for Drupal - Critical - Access bypass - SA-CONTRIB-2025-082EPSS 0.2%