Weaknesses of type CWE-306

3,095 results

Ausência de autenticação em funcionalidades críticas

A aplicação oferece funcionalidades sensíveis ou que consomem recursos significativos (processamento pesado, armazenamento, transações) sem verificar a identidade do usuário. Qualquer pessoa, autenticada ou não, consegue acessar e executar essas operações, comprometendo confidencialidade, integridade e disponibilidade.

Example

Um serviço de geração de relatórios expõe um endpoint `/api/gerar-relatorio` que não valida token JWT ou sessão — um atacante consegue disparar dezenas de requisições simultâneas, sobrecarregando o servidor, ou acessar dados de outros clientes sem se identificar.

How to mitigate

Implemente autenticação obrigatória antes de qualquer operação sensível (valide token, sessão ou credenciais). Para APIs, use OAuth2/JWT com verificação no início da requisição; para aplicações web, enforce sessão válida. Combine com rate limiting e quotas por usuário para conter abuso de recursos.

CVE-2023-26570HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%CVE-2023-27375HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%CVE-2023-27257HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%CVE-2023-22069CRITICALVulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Core). Supported versions that are affected areEPSS 0.9%CVE-2022-22526CRITICALMissing authentication for API in Carlo Gavazzi UWP 3.0 Car Park ServerEPSS 0.9%CVE-2026-49827CRITICALWebErpMesv2 has Unauthenticated RCE via Unrestricted File Upload in HR Expense scan_file (CWE-434)EPSS 0.9%CVE-2025-9971CRITICALPlanet Technology｜Industrial Cellular Gateway - Missing AuthenticationEPSS 0.9%CVE-2025-69425CRITICALRuckus vRIoT IoT Controller < 3.0.0.0 Hardcoded Tokens RCEEPSS 0.9%CVE-2022-29879MEDIUMA vulnerability has been identified in SICAM T (All versions < V3.0). The web based management interface of affected devices does not employEPSS 0.9%CVE-2026-32211CRITICALAzure MCP Server Information Disclosure VulnerabilityEPSS 0.9%CVE-2026-67593CRITICALApache Artemis, Apache Artemis, Apache ActiveMQ Artemis, Apache ActiveMQ Artemis: Pre-authentication Openwire protocol handling can result in queue deletionEPSS 0.9%CVE-2026-71878CRITICALAuthentication bypass in Integrated Publishing ToolkitEPSS 0.9%CVE-2026-86543CRITICALknowns before 0.30.0 Unauthenticated Management API ExposureEPSS 0.9%CVE-2025-26361CRITICALA CWE-306 "Missing Authentication for Critical Function" in maxprofile/setup/routes.lua in Q-Free MaxTime less than or equal to version 2.11EPSS 0.9%CVE-2022-41644HIGH Delta Electronics InfraSuite Device Master versions 00.00.01a and prior lacks authentication for a function that changes group privilegesEPSS 0.9%CVE-2021-22805—A CWE-306: Missing Authentication for Critical Function vulnerability exists that could cause deletion of arbitrary files in the context of EPSS 0.9%CVE-2020-36894CRITICALEibiz i-Media Server Digital Signage 3.8.0 Unauthenticated User Creation VulnerabilityEPSS 0.8%CVE-2025-1907CRITICALInstantel Micromate Missing Authentication for Critical FunctionEPSS 0.8%CVE-2026-67594CRITICALSpikster Missing Authentication via API Route GroupEPSS 0.8%CVE-2022-46732CRITICALCVE-2022-46732EPSS 0.8%