Weaknesses of type CWE-306

2,606 results

Ausência de autenticação em funcionalidades críticas

A aplicação oferece funcionalidades sensíveis ou que consomem recursos significativos (processamento pesado, armazenamento, transações) sem verificar a identidade do usuário. Qualquer pessoa, autenticada ou não, consegue acessar e executar essas operações, comprometendo confidencialidade, integridade e disponibilidade.

Example

Um serviço de geração de relatórios expõe um endpoint `/api/gerar-relatorio` que não valida token JWT ou sessão — um atacante consegue disparar dezenas de requisições simultâneas, sobrecarregando o servidor, ou acessar dados de outros clientes sem se identificar.

How to mitigate

Implemente autenticação obrigatória antes de qualquer operação sensível (valide token, sessão ou credenciais). Para APIs, use OAuth2/JWT com verificação no início da requisição; para aplicações web, enforce sessão válida. Combine com rate limiting e quotas por usuário para conter abuso de recursos.

CVE-2026-75852CRITICALArcadeDB MongoDB wire protocol authentication bypass cross-databaseEPSS 0.7%CVE-2026-44668CRITICALFaction: Unauthenticated Read, Modify, and Delete of Boilerplate TemplatesEPSS 0.7%CVE-2023-26580HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.7%CVE-2017-20217HIGHServiio PRO 1.8 REST API Information DisclosureEPSS 0.7%CVE-2023-41186MEDIUMD-Link DAP-1325 CGI Missing Authentication Information Disclosure VulnerabilityEPSS 0.7%CVE-2026-31881HIGHRuntipi unauthenticated /api/auth/reset-password allows operator account takeover during active reset windowEPSS 0.7%CVE-2022-43110CRITICALVoltronic Power ViewPower through 1.04-21353 and PowerShield Netguard before 1.04-23292 allows a remote attacker to configure the system viaEPSS 0.7%CVE-2026-90944HIGHKrayin CRM through 2.2.6 Unauthenticated Email Injection via inbound-parseEPSS 0.7%CVE-2023-31143MEDIUMMage terminal user authentication not working properlyEPSS 0.7%CVE-2026-85702MEDIUMramon-victor freegpt-webui Backend Conversation API backend.py _conversation missing authenticationEPSS 0.7%CVE-2025-59097CRITICALUnauthenticated SOAP API in dormakaba access managerEPSS 0.7%CVE-2023-0906HIGHSourceCodester Online Pizza Ordering System POST Parameter ajax.php delete_category missing authenticationEPSS 0.7%CVE-2026-92625HIGHControl iD iDSecure Unauthenticated Denial of ServiceEPSS 0.7%CVE-2026-28814HIGHApache JSPWiki: Pre-Authentication Arbitrary Wiki Markup RenderingEPSS 0.7%CVE-2026-3893CRITICALCarlson Software VASCO-B GNSS Receiver Missing Authentication for Critical FunctionEPSS 0.7%CVE-2026-55814HIGHApache Ranger: Download APIs expose plugin data without authenticationEPSS 0.7%CVE-2026-46612HIGHFission StorageSvc /v1/archive endpoint exposes unauthenticated CRUD over all function archivesEPSS 0.7%CVE-2020-36874HIGHACE SECURITY WIP-90113 Unauthenticated Configuration DisclosureEPSS 0.7%CVE-2021-47936CRITICALOpenCATS 0.9.4 Remote Code Execution via Resume UploadEPSS 0.7%CVE-2026-7042MEDIUM666ghj MiroFish REST API Endpoint __init__.py create_app missing authenticationEPSS 0.7%