Weaknesses of type CWE-863

2,994 results

Falha em Controle de Acesso

A aplicação implementa uma verificação de permissões, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que deveria estar impedido de fazer. O problema é que o desenvolvedor assume (errado) que a autenticação é suficiente, não valida o contexto da requisição ou implementa a autorização de forma frágil — por exemplo, verificando apenas o ID do usuário em um parâmetro sem validar no servidor, ou deixando lacunas em condições lógicas.

Example

Um painel administrativo verifica se o usuário está logado, mas não confirma se é realmente um admin antes de exibir a página de configurações. Um usuário comum consegue acessar a URL /admin/settings e alterar parâmetros críticos porque o backend apenas confere a sessão ativa, não o papel atribuído. Ou um e-commerce valida se o ID do pedido existe, mas não confirma se pertence ao usuário autenticado — qualquer um consegue visualizar ou cancelar pedidos alheios.

How to mitigate

Implemente verificações de autorização consistentes no servidor para cada ação sensível: confirme não apenas que o usuário está autenticado, mas que ele tem permissão explícita (role, escopo, proprietário do recurso). Use uma lista branca de ações permitidas, nunca lista negra. Teste a autorização com contas de diferentes perfis e tente contornar as verificações alterando parâmetros ou sessões.

CVE-2021-24717—AutomatorWP < 1.7.6 - Missing Authorization and Privilege EscalationEPSS 1.3%CVE-2023-40610MEDIUMApache Superset: Privilege escalation with default examples databaseEPSS 1.3%CVE-2024-27139HIGHApache Archiva: incorrect authentication potentially leading to account takeoverEPSS 1.3%CVE-2026-30965CRITICALParse Server session token exfiltration via `redirectClassNameForKey` query parameterEPSS 1.3%CVE-2022-45544HIGHInsecure Permission vulnerability in Schlix Web Inc SCHLIX CMS 2.2.7-2 allows attacker to upload arbitrary files and execute arbitrary code EPSS 1.3%CVE-2023-31704—Sourcecodester Online Computer and Laptop Store 1.0 is vulnerable to Incorrect Access Control, which allows remote attackers to elevate privEPSS 1.3%CVE-2022-1706—A vulnerability was found in Ignition where ignition configs are accessible from unprivileged containers in VMs running on VMware products. EPSS 1.3%CVE-2022-23452—An authorization flaw was found in openstack-barbican, where anyone with an admin role could add secrets to a different project container. TEPSS 1.3%CVE-2021-20282—When creating a user account, it was possible to verify the account without having access to the verification email link/secret in moodle beEPSS 1.3%CVE-2007-3968MEDIUMindex.php in dirLIST before 0.1.1 allows remote attackers to list the contents of an excluded folder via a modified URL containing the foldeEPSS 1.3%CVE-2022-23451—An authorization flaw was found in openstack-barbican. The default policy rules for the secret metadata API allowed any authenticated user tEPSS 1.3%CVE-2023-27388CRITICALImproper authentication vulnerability in T&D Corporation and ESPEC MIC CORP. data logger products allows a remote unauthenticated attacker tEPSS 1.3%CVE-2023-24829HIGHApache IoTDB Workbench: apache/iotdb-web-workbench: forge the JWTToken to access workbenchEPSS 1.2%CVE-2022-23739CRITICALIncorrect authorization check in GitHub Enterprise Server leading to escalation of privileges in GraphQL API requests from GitHub Apps using scoped user-to-server tokensEPSS 1.2%CVE-2017-15091—An issue has been found in the API component of PowerDNS Authoritative 4.x up to and including 4.0.4 and 3.x up to and including 3.4.11, wheEPSS 1.2%CVE-2024-2473MEDIUMWPS Hide Login <= 1.9.15.2 - Login Page DisclosureEPSS 1.2%CVE-2020-3578MEDIUMCisco Adaptive Security Appliance Software and Firepower Threat Defense Software WebVPN Portal Access Rule Bypass VulnerabilityEPSS 1.2%CVE-2022-24714MEDIUMDisclosure of hosts and related data, linked to decommissioned services in Icinga Web 2EPSS 1.2%CVE-2026-34453HIGHSiYuan: Broken access control in /api/bookmark/getBookmark allows unauthenticated publish visitors to read password-protected bookmarked contentEPSS 1.2%CVE-2022-39958HIGHResponse body bypass in OWASP ModSecurity Core Rule Set via repeated HTTP Range header submission with a small byte rangeEPSS 1.2%