Weaknesses of type CWE-306

2,600 results

Ausência de autenticação em funcionalidades críticas

A aplicação oferece funcionalidades sensíveis ou que consomem recursos significativos (processamento pesado, armazenamento, transações) sem verificar a identidade do usuário. Qualquer pessoa, autenticada ou não, consegue acessar e executar essas operações, comprometendo confidencialidade, integridade e disponibilidade.

Example

Um serviço de geração de relatórios expõe um endpoint `/api/gerar-relatorio` que não valida token JWT ou sessão — um atacante consegue disparar dezenas de requisições simultâneas, sobrecarregando o servidor, ou acessar dados de outros clientes sem se identificar.

How to mitigate

Implemente autenticação obrigatória antes de qualquer operação sensível (valide token, sessão ou credenciais). Para APIs, use OAuth2/JWT com verificação no início da requisição; para aplicações web, enforce sessão válida. Combine com rate limiting e quotas por usuário para conter abuso de recursos.

CVE-2026-5616MEDIUMJeecgBoot AI Chat JeecgBizToolsProvider.java missing authenticationEPSS 0.7%CVE-2026-18265CRITICALOSNEXUS QuantaStor Missing Authentication Remote Code Execution VulnerabilityEPSS 0.7%CVE-2026-5676MEDIUMTotolink A8000R cstecgi.cgi setLanguageCfg missing authenticationEPSS 0.7%CVE-2023-0102CRITICALCVE-2023-0102EPSS 0.7%CVE-2025-34220MEDIUMVasion Print (formerly PrinterLogic) Unauthenticated API Leaks Group InformationEPSS 0.7%CVE-2026-14622MEDIUMjairiidriss restaurant-website-php-mysql AJAX Endpoint ajax_files missing authenticationEPSS 0.7%CVE-2026-54670CRITICALWeGIA: Unauthenticated Auth Bypass + Local File InclusionEPSS 0.7%CVE-2025-70141CRITICALSourceCodester Customer Support System 1.0 contains an incorrect access control vulnerability in ajax.php. The AJAX dispatcher does not enfoEPSS 0.7%CVE-2026-55642CRITICALdbx: Unauthenticated arbitrary SQL execution in dbx-web (authentication fails open when no password is configured)EPSS 0.7%CVE-2024-27942HIGHA vulnerability has been identified in RUGGEDCOM CROSSBOW (All versions < V5.5). The affected systems allow any unauthenticated client to diEPSS 0.7%CVE-2026-78369HIGHMissing Authentication Allows Unauthorized Creation of Crypto Groups in RansomLookEPSS 0.7%CVE-2022-50593CRITICALAdvantech iView < v5.7.04 Build 6425 search_term Parameter SQL Injection RCEEPSS 0.7%CVE-2026-16210MEDIUMnewpanjing simpleui AjaxAdmin AJAX Endpoint admin.py self.get_action missing authenticationEPSS 0.7%CVE-2026-6126MEDIUMzhayujie chatgpt-on-wechat CowAgent Administrative HTTP Endpoint missing authenticationEPSS 0.7%CVE-2026-86292MEDIUMSourceCodester Simple Traffic Offense System User Creation saveuser.php missing authenticationEPSS 0.7%CVE-2026-87922MEDIUMRizwan17 inventory-management-system AJAX Backend process.php DBOperation.addCategory missing authenticationEPSS 0.7%CVE-2026-18990MEDIUMletta-ai LettaBot API Status Route server.ts missing authenticationEPSS 0.7%CVE-2021-36200MEDIUMMetasys ADS/ADX/OAS with MUIEPSS 0.7%CVE-2026-22898CRITICALQVR ProEPSS 0.7%CVE-2026-56299MEDIUMCapgo - Denial of Service via Unauthenticated OPTIONS Request to /build/upload EndpointEPSS 0.7%