Weaknesses of type CWE-306

2,632 results

Ausência de autenticação em funcionalidades críticas

A aplicação oferece funcionalidades sensíveis ou que consomem recursos significativos (processamento pesado, armazenamento, transações) sem verificar a identidade do usuário. Qualquer pessoa, autenticada ou não, consegue acessar e executar essas operações, comprometendo confidencialidade, integridade e disponibilidade.

Example

Um serviço de geração de relatórios expõe um endpoint `/api/gerar-relatorio` que não valida token JWT ou sessão — um atacante consegue disparar dezenas de requisições simultâneas, sobrecarregando o servidor, ou acessar dados de outros clientes sem se identificar.

How to mitigate

Implemente autenticação obrigatória antes de qualquer operação sensível (valide token, sessão ou credenciais). Para APIs, use OAuth2/JWT com verificação no início da requisição; para aplicações web, enforce sessão válida. Combine com rate limiting e quotas por usuário para conter abuso de recursos.

CVE-2026-52748HIGHMissing authentication for backup functionality in Kaon AR2140XEPSS —CVE-2026-11796MEDIUMAsset Suite allows unauthenticated users to access PropertiesReloadServlet, CacheFlushServlet, MetadataCacheFlushServlet and ResourceBundleREPSS —CVE-2026-103053MEDIUMAiSOC 9.0.0 before 12.0.0 Missing Authentication on Actions Service Response-Action APIEPSS —CVE-2026-66083MEDIUMApache DolphinScheduler: Unauthorized Disclosure of Data Source Information via /datasources/unauth-datasourceEPSS —CVE-2026-86158HIGHMissing Authentication in the local .NET backend of Progress Telerik Fiddler EverywhereEPSS —CVE-2026-7395HIGHAsset Suite allows unauthenticated users to access HTTPPublishAdapterTestServlet that can be used for configuration file upload, leading to EPSS —CVE-2026-101077CRITICALNetcore NR289-GE boa_temp process_request missing authenticationEPSS —CVE-2026-91154MEDIUMMissing authentication in Ecommerce Template product cache revalidation allows unauthenticated denial of serviceEPSS —CVE-2026-8065CRITICALAn authentication bypass vulnerability in the firmware update endpoint of Hitachi Energy RTU500 end-of-life versions allows an unauthenticatEPSS —CVE-2026-102811HIGHMarmite through 0.4.2 Unauthenticated API Access via Development ServerEPSS —CVE-2026-49994CRITICALBluehood: Missing authentication on Bluehood API routes when web auth is enabledEPSS —CVE-2026-82930MEDIUMMissing Authentication in mH-DEVELOPEREPSS —