Weaknesses of type CWE-288

675 results

Controle de acesso inadequado

A aplicação não valida corretamente quem pode acessar um recurso, função ou dado sensível. O atacante consegue contornar as verificações de autenticação ou autorização e executa ações não permitidas (ler dados de outro usuário, modificar configurações críticas, etc.). Essa é uma das falhas mais comuns e perigosas em desenvolvimento web e APIs.

Example

Uma API de banco de dados retorna dados do usuário ID 123 quando você requisita `/api/users/123`, mas não verifica se você é realmente o dono desse perfil ou um admin. Um atacante muda o ID na URL para `/api/users/456` e acessa dados de outro cliente sem nenhuma barreira.

How to mitigate

Sempre valide a identidade do usuário (autenticação) e depois confirme explicitamente se ele tem permissão para aquele recurso (autorização). Use tokens seguros, implemente controle de acesso baseado em papéis ou atributos, e teste cada endpoint com usuários diferentes para garantir que um não acessa dados do outro.

CVE-2022-2031—A flaw was found in Samba. The security vulnerability occurs when KDC and the kpasswd service share a single account and set of keys, allowiEPSS 1.2%CVE-2023-3162CRITICALStripe Payment Plugin for WooCommerce <= 3.7.7 - Authentication BypassEPSS 1.2%CVE-2023-2781HIGHUser Email Verification for WooCommerce <= 3.5.0 - Authentication BypassEPSS 1.2%CVE-2021-41292CRITICALECOA BAS controller - Broken AuthenticationEPSS 1.2%CVE-2023-22495CRITICALIzanami is vulnerable to Authorization BypassEPSS 1.1%CVE-2021-34977HIGHThis vulnerability allows network-adjacent attackers to bypass authentication on affected installations of NETGEAR R7000 1.0.11.116_10.2.100EPSS 1.1%CVE-2021-32984CRITICALAutomation Direct CLICK PLC CPU Modules Authentication Bypass Using an Alternate Path or ChannelEPSS 1.1%CVE-2021-32986CRITICALAutomation Direct CLICK PLC CPU Modules Authentication Bypass Using an Alternate Path or ChannelEPSS 1.1%CVE-2021-32980CRITICALAutomation Direct CLICK PLC CPU Modules Authentication Bypass Using an Alternate Path or ChannelEPSS 1.1%CVE-2025-2492CRITICALAn improper authentication control vulnerability exists in AiCloud. This vulnerability can be triggered by a crafted request, potentially leEPSS 1.1%CVE-2024-9988CRITICALCrypto <= 2.19 - Authentication Bypass via registerEPSS 1.1%CVE-2023-3249CRITICALWeb3 – Crypto wallet Login & NFT token gating <= 2.6.0 - Authentication BypassEPSS 1.1%CVE-2024-2973CRITICALSession Smart Router(SSR): On redundant router deployments API authentication can be bypassedEPSS 1.1%CVE-2021-43935HIGHICSMA-21-343-01 Hillrom Welch Allyn Cardio ProductsEPSS 1.1%CVE-2022-27510CRITICALUnauthorized access to Gateway user capabilities EPSS 1.1%CVE-2024-9890HIGHUser Toolkit <= 1.2.3 - Authenticated (Subscriber+) Authentication BypassEPSS 1.1%CVE-2024-50334HIGHSemicolon Path Injection on API /api;/configEPSS 1.0%CVE-2020-27863MEDIUMThis vulnerability allows network-adjacent attackers to disclose sensitive information on affected installations of D-Link DVA-2800 and DSL-EPSS 1.0%CVE-2022-24813MEDIUMAuthentication Bypass Using an Alternate Path or Channel in CreateWikiEPSS 1.0%CVE-2020-13185—Certain web application pages in the authenticated section of the Teradici Cloud Access Connector prior to v18 were accessible without the nEPSS 1.0%