Weaknesses of type CWE-306

3,093 results

Ausência de autenticação em funcionalidades críticas

A aplicação oferece funcionalidades sensíveis ou que consomem recursos significativos (processamento pesado, armazenamento, transações) sem verificar a identidade do usuário. Qualquer pessoa, autenticada ou não, consegue acessar e executar essas operações, comprometendo confidencialidade, integridade e disponibilidade.

Example

Um serviço de geração de relatórios expõe um endpoint `/api/gerar-relatorio` que não valida token JWT ou sessão — um atacante consegue disparar dezenas de requisições simultâneas, sobrecarregando o servidor, ou acessar dados de outros clientes sem se identificar.

How to mitigate

Implemente autenticação obrigatória antes de qualquer operação sensível (valide token, sessão ou credenciais). Para APIs, use OAuth2/JWT com verificação no início da requisição; para aplicações web, enforce sessão válida. Combine com rate limiting e quotas por usuário para conter abuso de recursos.

CVE-2022-47377CRITICALPassword recovery vulnerability in SICK SIM2000ST Partnumber 2086502 with firmware version <1.13.4 allows an unprivileged remote attacker toEPSS 0.9%CVE-2026-64921HIGHMicrosoft SharePoint Server Elevation of Privilege VulnerabilityEPSS 0.9%CVE-2021-32659MEDIUMAutomatic room upgrade handling can be used maliciously to bridge a room non-consentuallyEPSS 0.9%CVE-2024-38643CRITICALNotes Station 3EPSS 0.9%CVE-2024-8751HIGHCVE-2024-8751EPSS 0.9%CVE-2023-40545HIGHPingFederate OAuth client_secret_jwt Authentication BypassEPSS 0.9%CVE-2023-30604CRITICALHitron Technologies Inc. CODA-5310 - Broken Access ControlEPSS 0.9%CVE-2025-26359CRITICALA CWE-306 "Missing Authentication for Critical Function" in maxprofile/accounts/routes.lua in Q-Free MaxTime less than or equal to version 2EPSS 0.9%CVE-2026-66047CRITICALProfilePress WordPress Plugin < 4.17.2 Unauthenticated Arbitrary Plugin Installation RCEEPSS 0.9%CVE-2025-35050CRITICALNewforma Info Exchange (NIX) .NET unauthenticated deserializationEPSS 0.9%CVE-2025-20358CRITICALCisco Unified Contact Center Express Editor Authentication Bypass VulnerabilityEPSS 0.9%CVE-2023-20857MEDIUMVMware Workspace ONE Content contains a passcode bypass vulnerability. A malicious actor, with access to a users rooted device, may be able EPSS 0.9%CVE-2024-2076MEDIUMCodeAstro House Rental Management System tenant.php missing authenticationEPSS 0.9%CVE-2026-26340HIGHTattile Smart+ / Vega / Basic <= 1.181.5 Unauthenticated RTSP Stream DisclosureEPSS 0.9%CVE-2026-16242CRITICALHypershift: konnectivity proxy-server accepts agent connections without validating client certificatesEPSS 0.9%CVE-2023-4506LOWActive Directory Integration / LDAP Integration <= 4.1.10 - LDAP PassbackEPSS 0.9%CVE-2023-4505LOWStaff / Employee Business Directory for Active Directory <= 1.2.3 - Authenticated (Admin+) LDAP PassbackEPSS 0.9%CVE-2026-13249CRITICALUnauthenticated RCE Arbitrary File Upload Honeywell PD45 Industrial Printer version F10.19.010040EPSS 0.9%CVE-2016-6540—TrackR Bravo is missing authentication for the cloud service and allows querying or sending of GPS data from unauthenticated usersEPSS 0.9%CVE-2023-26573HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%