Weaknesses of type CWE-306

2,599 results

Ausência de autenticação em funcionalidades críticas

A aplicação oferece funcionalidades sensíveis ou que consomem recursos significativos (processamento pesado, armazenamento, transações) sem verificar a identidade do usuário. Qualquer pessoa, autenticada ou não, consegue acessar e executar essas operações, comprometendo confidencialidade, integridade e disponibilidade.

Example

Um serviço de geração de relatórios expõe um endpoint `/api/gerar-relatorio` que não valida token JWT ou sessão — um atacante consegue disparar dezenas de requisições simultâneas, sobrecarregando o servidor, ou acessar dados de outros clientes sem se identificar.

How to mitigate

Implemente autenticação obrigatória antes de qualquer operação sensível (valide token, sessão ou credenciais). Para APIs, use OAuth2/JWT com verificação no início da requisição; para aplicações web, enforce sessão válida. Combine com rate limiting e quotas por usuário para conter abuso de recursos.

CVE-2026-49973CRITICALHermes WebUI < 0.51.358 Unauthenticated Password Takeover via /api/settingsEPSS 0.7%CVE-2023-53896HIGHD-Link DAP-1325 Hardware A1 Unauthenticated Configuration DownloadEPSS 0.7%CVE-2026-76157HIGHDatiphy Data Management Center - Missing Authentication for Critical FunctionEPSS 0.7%CVE-2026-55640CRITICALNextcloud MCP Server: Unauthenticated `POST /webhooks/nextcloud` allows arbitrary vector data deletion when `WEBHOOK_SECRET` is unset ( default )EPSS 0.7%CVE-2020-10124—NCR SelfServ ATMs running APTRA XFS 05.01.00 do not encrypt, authenticate, or verify the integrity of messages between the BNA and the host EPSS 0.7%CVE-2026-81098CRITICALTelnyx MCP Server through 6.83.0 Missing Authentication on Streamable HTTP TransportEPSS 0.7%CVE-2026-73849CRITICALemlog allows unauthenticated reinstallation via `install.php?action=reinstall`.EPSS 0.7%CVE-2026-53984HIGHGround Station prior to 0.6.0 Unauthenticated Database Wipe and Arbitrary Data Injection via Socket.IO database_backup full_restore ActionEPSS 0.7%CVE-2026-69415MEDIUMWindows DHCP Server Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2025-1701HIGHLocal Privilege Escalation in MIM Admin ServiceEPSS 0.7%CVE-2026-23662HIGHAzure IoT Explorer Information Disclosure VulnerabilityEPSS 0.7%CVE-2023-26573HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.7%CVE-2026-78434MEDIUMFaveo Helpdesk post-ticket-reply Endpoint FormController.php post_ticket_reply missing authenticationEPSS 0.7%CVE-2026-6579MEDIUMliangliangyy DjangoBlog Clean Endpoint views.py missing authenticationEPSS 0.7%CVE-2026-6588MEDIUMserge-chat serge Model API Endpoint model.py delete_model missing authenticationEPSS 0.7%CVE-2026-42074CRITICALOpenClaude: Sandbox Bypass via Model-Controlled `dangerouslyDisableSandbox` InputEPSS 0.7%CVE-2026-79391CRITICALNo authentication exists in the MQTT service of Trueview 6.0.23.4. The MQTT broker accepts client connections on TCP port 1883 without requiEPSS 0.7%CVE-2024-8310CRITICALOPW Fuel Management Systems SiteSentinel Missing Authentication for Critical FunctionEPSS 0.7%CVE-2026-2603HIGHKeycloak: keycloak: unauthorized authentication via disabled saml identity providerEPSS 0.7%CVE-2026-85695CRITICALFastChat Unauthenticated Worker Registration SSRF and Model SpoofingEPSS 0.7%