Weaknesses of type CWE-306

3,095 results

Ausência de autenticação em funcionalidades críticas

A aplicação oferece funcionalidades sensíveis ou que consomem recursos significativos (processamento pesado, armazenamento, transações) sem verificar a identidade do usuário. Qualquer pessoa, autenticada ou não, consegue acessar e executar essas operações, comprometendo confidencialidade, integridade e disponibilidade.

Example

Um serviço de geração de relatórios expõe um endpoint `/api/gerar-relatorio` que não valida token JWT ou sessão — um atacante consegue disparar dezenas de requisições simultâneas, sobrecarregando o servidor, ou acessar dados de outros clientes sem se identificar.

How to mitigate

Implemente autenticação obrigatória antes de qualquer operação sensível (valide token, sessão ou credenciais). Para APIs, use OAuth2/JWT com verificação no início da requisição; para aplicações web, enforce sessão válida. Combine com rate limiting e quotas por usuário para conter abuso de recursos.

CVE-2026-89261MEDIUMMoguBlog through 6.2 Missing Authentication for Elasticsearch Index Management EndpointsEPSS 0.8%CVE-2026-61514CRITICALPuwell IP Camera 2.x - 4.x Unauthenticated Access via TCP Port 23456EPSS 0.8%CVE-2026-70552CRITICALMaxSite CMS 109.5 Unauthenticated AJAX Dispatcher Bypass via ajax.phpEPSS 0.8%CVE-2026-82452CRITICALrust-iot-platform Authentication Bypass via Missing Request GuardsEPSS 0.8%CVE-2020-10044—A vulnerability has been identified in SICAM MMU (All versions < V2.05), SICAM SGU (All versions), SICAM T (All versions < V2.18). An attackEPSS 0.8%CVE-2022-20830MEDIUMCisco Software-Defined Application Visibility and Control on Cisco vManage Authentication Bypass VulnerabilityEPSS 0.8%CVE-2023-26580HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.8%CVE-2025-55108CRITICALBMC Control-M/Agent default configuration does not enforce SSL/TLS allowing unauthorized actions and remote code executionEPSS 0.8%CVE-2023-25570HIGHApollo has potential access control security issue in eurekaEPSS 0.8%CVE-2023-43644CRITICALImproper authentication in the SOCKS5 inbound in sing-boxEPSS 0.8%CVE-2023-4815HIGHMissing Authentication for Critical Function in answerdev/answerEPSS 0.8%CVE-2023-38030HIGHSaho ADM100&ADM-100FP - Execute CodeEPSS 0.8%CVE-2025-5310CRITICALDover Fueling Solutions ProGauge MagLink LX Consoles Missing Authentication for Critical FunctionEPSS 0.8%CVE-2026-49362HIGHApache Artemis, Apache ActiveMQ Artemis: Missing Authentication in CORE Protocol Handler Allows Unauthorized Queue CreationEPSS 0.8%CVE-2023-39981HIGHMXsecurity Device Information DisclosureEPSS 0.8%CVE-2025-21535CRITICALVulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Core). Supported versions that are affected areEPSS 0.8%CVE-2026-23662HIGHAzure IoT Explorer Information Disclosure VulnerabilityEPSS 0.8%CVE-2026-85428CRITICALMOOS core-moos through 10.4.0 MOOSDB HTTP Server Unauthenticated Variable WriteEPSS 0.8%CVE-2025-34216CRITICALVasion Print (formerly PrinterLogic) RCE and Password Leaks via APIEPSS 0.8%CVE-2026-85424CRITICALMOOS core-moos through 10.4.0 Missing Authentication for MOOSDB Publish, Subscribe and DB_CLEAREPSS 0.8%