Weaknesses of type CWE-306

3,091 results

Ausência de autenticação em funcionalidades críticas

A aplicação oferece funcionalidades sensíveis ou que consomem recursos significativos (processamento pesado, armazenamento, transações) sem verificar a identidade do usuário. Qualquer pessoa, autenticada ou não, consegue acessar e executar essas operações, comprometendo confidencialidade, integridade e disponibilidade.

Example

Um serviço de geração de relatórios expõe um endpoint `/api/gerar-relatorio` que não valida token JWT ou sessão — um atacante consegue disparar dezenas de requisições simultâneas, sobrecarregando o servidor, ou acessar dados de outros clientes sem se identificar.

How to mitigate

Implemente autenticação obrigatória antes de qualquer operação sensível (valide token, sessão ou credenciais). Para APIs, use OAuth2/JWT com verificação no início da requisição; para aplicações web, enforce sessão válida. Combine com rate limiting e quotas por usuário para conter abuso de recursos.

CVE-2026-75430CRITICALPowerJob Worker version 5.1.2 (and likely earlier versions) exposes the /worker/deployContainer HTTP endpoint without authentication on the EPSS 1.2%CVE-2024-43488HIGHVisual Studio Code extension for Arduino Remote Code Execution VulnerabilityEPSS 1.2%CVE-2024-8320MEDIUMMissing authentication in Network Isolation of Ivanti EPM before 2022 SU6, or the 2024 September update allows a remote unauthenticated attaEPSS 1.2%CVE-2019-6533—Registers used to store Modbus values can be read and written from the web interface without authentication in the PR100088 Modbus gateway vEPSS 1.2%CVE-2025-34223CRITICALVasion Print (formerly PrinterLogic) Insecure Installation CredentialsEPSS 1.2%CVE-2019-15282MEDIUMCisco Identity Services Engine Information Disclosure VulnerabilityEPSS 1.2%CVE-2019-16003MEDIUMCisco UCS Director Information Disclosure VulnerabilityEPSS 1.2%CVE-2024-5749HIGHCertain HP DesignJet products – Credential reflectionEPSS 1.2%CVE-2022-26026HIGHA denial of service vulnerability exists in the OAS Engine SecureConfigValues functionality of Open Automation Software OAS Platform V16.00.EPSS 1.2%CVE-2020-3461MEDIUMCisco Data Center Network Manager Information Disclosure VulnerabilityEPSS 1.2%CVE-2022-2242CRITICALKUKA V/KSS WoV SH access control vulnerabilityEPSS 1.2%CVE-2021-41104HIGHweb_server allows OTA update without checking user defined basic auth username & passwordEPSS 1.2%CVE-2022-44001CRITICALAn issue was discovered in BACKCLICK Professional 5.9.63. User authentication for accessing the CORBA back-end services can be bypassed.EPSS 1.2%CVE-2025-7862MEDIUMTOTOLINK T6 Telnet Service cstecgi.cgi setTelnetCfg missing authenticationEPSS 1.2%CVE-2024-23618CRITICALArris SURFboard SBG6950AC2 Arbitrary Code Execution VulnerabilityEPSS 1.2%CVE-2022-42785CRITICALWiesemann & Theis: Authentication bypass in Com-Server familyEPSS 1.2%CVE-2022-25922MEDIUMICSA-22-063-01 Missing Authentication for Critical Function in Trailer Power Line Communications (PLC) J2497EPSS 1.2%CVE-2025-59090CRITICALUnauthenticated SOAP API in dormakaba Kaba exos 9300EPSS 1.2%CVE-2026-55450CRITICALLangflow: Unauthenticated file upload leads to DoS (space exhaustion) and information leakEPSS 1.2%CVE-2026-72748MEDIUMAVideo Unauthenticated Arbitrary File Write via aVideoEncoderChunk.json.phpEPSS 1.2%