Weaknesses of type CWE-863

3,114 results

Falha em Controle de Acesso

A aplicação implementa uma verificação de permissões, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que deveria estar impedido de fazer. O problema é que o desenvolvedor assume (errado) que a autenticação é suficiente, não valida o contexto da requisição ou implementa a autorização de forma frágil — por exemplo, verificando apenas o ID do usuário em um parâmetro sem validar no servidor, ou deixando lacunas em condições lógicas.

Example

Um painel administrativo verifica se o usuário está logado, mas não confirma se é realmente um admin antes de exibir a página de configurações. Um usuário comum consegue acessar a URL /admin/settings e alterar parâmetros críticos porque o backend apenas confere a sessão ativa, não o papel atribuído. Ou um e-commerce valida se o ID do pedido existe, mas não confirma se pertence ao usuário autenticado — qualquer um consegue visualizar ou cancelar pedidos alheios.

How to mitigate

Implemente verificações de autorização consistentes no servidor para cada ação sensível: confirme não apenas que o usuário está autenticado, mas que ele tem permissão explícita (role, escopo, proprietário do recurso). Use uma lista branca de ações permitidas, nunca lista negra. Teste a autorização com contas de diferentes perfis e tente contornar as verificações alterando parâmetros ou sessões.

CVE-2025-0360HIGHDuring an annual penetration test conducted on behalf of Axis Communication, Truesec discovered a flaw in the VAPIX Device Configuration fraEPSS 0.1%CVE-2024-47102MEDIUMIBM AIX denial of serviceEPSS 0.1%CVE-2025-4975MEDIUMTapo privilege escalation on shared devices using notificationsEPSS 0.1%CVE-2026-28864LOWThis issue was addressed with improved permissions checking. This issue is fixed in iOS 18.7.7 and iPadOS 18.7.7, iOS 26.4 and iPadOS 26.4, EPSS 0.1%CVE-2026-18703LOWImproper Enforcement of Authentication Mechanism Restrictions in MongoDB Server Allows Use of Disabled Authentication MethodEPSS 0.1%CVE-2022-31252MEDIUMpermissions: chkstat does not check for group-writable parent directories or target files in safeOpen()EPSS 0.1%CVE-2023-25185LOWAn issue was discovered on NOKIA Airscale ASIKA Single RAN devices before 21B. A mobile network solution internal fault was found in Nokia SEPSS 0.1%CVE-2025-43922HIGHThe FileWave Windows client before 16.0.0, in some non-default configurations, allows an unprivileged local user to escalate privileges to SEPSS 0.1%CVE-2023-45793MEDIUMA vulnerability has been identified in Siveillance Control (All versions >= V2.8 < V3.1.1). The affected product does not properly check theEPSS 0.1%CVE-2024-45328HIGHAn incorrect authorization vulnerability [CWE-863] in FortiSandbox 4.4.0 through 4.4.6 may allow a low priviledged administrator to execute EPSS 0.1%CVE-2025-0359HIGHDuring an annual penetration test conducted on behalf of Axis Communication, Truesec discovered a flaw in the ACAP Application framework thaEPSS 0.1%CVE-2026-18171MEDIUMDocker Sandboxes read-only runtime mount writable through its shared-export aliasEPSS 0.1%CVE-2026-49983MEDIUMDeno: process.loadEnvFile() bypasses env permission checks and mutates process.env with only read accessEPSS 0.1%CVE-2026-84617MEDIUMAn authorization issue was addressed with improved state management. This issue is fixed in iOS 26.7 and iPadOS 26.7, iOS 27 and iPadOS 27, EPSS 0.1%CVE-2026-84601MEDIUMA permissions issue was addressed with improved state management. This issue is fixed in macOS Golden Gate 27. An app may be able to bypass EPSS 0.1%CVE-2024-36055MEDIUMHw64.sys in Marvin Test HW.exe before 5.0.5.0 allows unprivileged user-mode processes to arbitrarily map physical memory with read/write accEPSS 0.1%CVE-2023-45023MEDIUMThe femanager extension 7 before 7.2.2 for TYPO3 has Incorrect Access Control: it lacks a check for permissions for the invitation componentEPSS 0.1%CVE-2026-26949MEDIUMDell Device Management Agent (DDMA), versions prior to 26.02, contain an Incorrect Authorization vulnerability. A low privileged attacker wiEPSS 0.1%CVE-2026-92874MEDIUMIncorrect Authorization in GitLabEPSS 0.1%CVE-2026-39402MEDIUMlxc lxc-user-nic insufficient ownership validation allows cross-tenant OVS port deletionEPSS 0.1%