Weaknesses of type CWE-863

3,851 results

Falha em Controle de Acesso

A aplicação implementa uma verificação de permissões, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que deveria estar impedido de fazer. O problema é que o desenvolvedor assume (errado) que a autenticação é suficiente, não valida o contexto da requisição ou implementa a autorização de forma frágil — por exemplo, verificando apenas o ID do usuário em um parâmetro sem validar no servidor, ou deixando lacunas em condições lógicas.

Example

Um painel administrativo verifica se o usuário está logado, mas não confirma se é realmente um admin antes de exibir a página de configurações. Um usuário comum consegue acessar a URL /admin/settings e alterar parâmetros críticos porque o backend apenas confere a sessão ativa, não o papel atribuído. Ou um e-commerce valida se o ID do pedido existe, mas não confirma se pertence ao usuário autenticado — qualquer um consegue visualizar ou cancelar pedidos alheios.

How to mitigate

Implemente verificações de autorização consistentes no servidor para cada ação sensível: confirme não apenas que o usuário está autenticado, mas que ele tem permissão explícita (role, escopo, proprietário do recurso). Use uma lista branca de ações permitidas, nunca lista negra. Teste a autorização com contas de diferentes perfis e tente contornar as verificações alterando parâmetros ou sessões.

CVE-2021-24819—Page/Post Content Shortcode <= 1.0 - Contributor+ Arbitrary Posts/Pages AccessEPSS 0.8%CVE-2026-69118HIGHCachet 2.4.1 Authenticated Server-Side Template Injection RCEEPSS 0.8%CVE-2022-4315MEDIUMAn issue has been discovered in GitLab DAST analyzer affecting all versions starting from 2.0 before 3.0.55, which sends custom request headEPSS 0.8%CVE-2021-39119MEDIUMAffected versions of Atlassian Jira Server and Data Center allow users who have watched an issue to continue receiving updates on the issue EPSS 0.8%CVE-2025-49586HIGHXWiki allows remote code execution through preview of XClass changes in AWM editorEPSS 0.8%CVE-2026-57133HIGHPraisonAI utility shell safe-command wrapper allowlist bypass via shell chainingEPSS 0.8%CVE-2023-0328—WPCode < 2.0.7 - Contributor+ WPCode Library Auth Key Update/DeletionEPSS 0.8%CVE-2022-0825—Amelia < 1.0.49 - Customer+ Arbitrary Appointments Status UpdateEPSS 0.8%CVE-2016-9575—Ipa versions 4.2.x, 4.3.x before 4.3.3 and 4.4.x before 4.4.3 did not properly check the user's permissions while modifying certificate profEPSS 0.8%CVE-2021-3499—A vulnerability was found in OVN Kubernetes in versions up to and including 0.3.0 where the Egress Firewall does not reliably apply firewallEPSS 0.8%CVE-2023-46241CRITICALPotential account take over due to unverified emails from Microsoft Identity Platform EPSS 0.8%CVE-2026-69555CRITICALAzure Arc Elevation of Privilege VulnerabilityEPSS 0.8%CVE-2026-44573HIGHNext.js: Middleware / Proxy bypass in Pages Router applications using i18nEPSS 0.8%CVE-2024-38868HIGHIncorrect AuthorizationEPSS 0.8%CVE-2021-24824—Custom Content Shortcode < 4.0.1 - Unauthorised Arbitrary Post Metadata AccessEPSS 0.8%CVE-2026-92909CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.8%CVE-2024-36611HIGHIn Symfony v7.07, a security vulnerability was identified in the FormLoginAuthenticator component, where it failed to adequately handle caseEPSS 0.8%CVE-2025-20674CRITICALIn wlan AP driver, there is a possible way to inject arbitrary packet due to a missing permission check. This could lead to remote escalatioEPSS 0.8%CVE-2026-102862HIGHMicrosoft Office SharePoint Elevation of Privilege VulnerabilityEPSS 0.8%CVE-2021-3658MEDIUMbluetoothd from bluez incorrectly saves adapters' Discoverable status when a device is powered down, and restores it when powered up. If a dEPSS 0.8%