Weaknesses of type CWE-863

3,846 results

Falha em Controle de Acesso

A aplicação implementa uma verificação de permissões, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que deveria estar impedido de fazer. O problema é que o desenvolvedor assume (errado) que a autenticação é suficiente, não valida o contexto da requisição ou implementa a autorização de forma frágil — por exemplo, verificando apenas o ID do usuário em um parâmetro sem validar no servidor, ou deixando lacunas em condições lógicas.

Example

Um painel administrativo verifica se o usuário está logado, mas não confirma se é realmente um admin antes de exibir a página de configurações. Um usuário comum consegue acessar a URL /admin/settings e alterar parâmetros críticos porque o backend apenas confere a sessão ativa, não o papel atribuído. Ou um e-commerce valida se o ID do pedido existe, mas não confirma se pertence ao usuário autenticado — qualquer um consegue visualizar ou cancelar pedidos alheios.

How to mitigate

Implemente verificações de autorização consistentes no servidor para cada ação sensível: confirme não apenas que o usuário está autenticado, mas que ele tem permissão explícita (role, escopo, proprietário do recurso). Use uma lista branca de ações permitidas, nunca lista negra. Teste a autorização com contas de diferentes perfis e tente contornar as verificações alterando parâmetros ou sessões.

CVE-2026-27604CRITICALFOSSBilling: Improper API Role Validation (system) Enables Unauthenticated Access to Privileged Admin FunctionsEPSS 1.3%CVE-2007-3968MEDIUMindex.php in dirLIST before 0.1.1 allows remote attackers to list the contents of an excluded folder via a modified URL containing the foldeEPSS 1.3%CVE-2026-24780HIGHAutoGPT is Vulnerable to RCE via Disabled Block ExecutionEPSS 1.3%CVE-2023-27388CRITICALImproper authentication vulnerability in T&D Corporation and ESPEC MIC CORP. data logger products allows a remote unauthenticated attacker tEPSS 1.3%CVE-2023-24829HIGHApache IoTDB Workbench: apache/iotdb-web-workbench: forge the JWTToken to access workbenchEPSS 1.2%CVE-2020-3578MEDIUMCisco Adaptive Security Appliance Software and Firepower Threat Defense Software WebVPN Portal Access Rule Bypass VulnerabilityEPSS 1.2%CVE-2017-15091—An issue has been found in the API component of PowerDNS Authoritative 4.x up to and including 4.0.4 and 3.x up to and including 3.4.11, wheEPSS 1.2%CVE-2024-2473MEDIUMWPS Hide Login <= 1.9.15.2 - Login Page DisclosureEPSS 1.2%CVE-2022-39958HIGHResponse body bypass in OWASP ModSecurity Core Rule Set via repeated HTTP Range header submission with a small byte rangeEPSS 1.2%CVE-2026-107333HIGHIncorrect Authorization in MalcolmEPSS 1.2%CVE-2026-34453HIGHSiYuan: Broken access control in /api/bookmark/getBookmark allows unauthenticated publish visitors to read password-protected bookmarked contentEPSS 1.2%CVE-2022-24714MEDIUMDisclosure of hosts and related data, linked to decommissioned services in Icinga Web 2EPSS 1.2%CVE-2021-20179—A flaw was found in pki-core. An attacker who has successfully compromised a key could use this flaw to renew the corresponding certificate EPSS 1.2%CVE-2022-39956HIGHPartial rule set bypass in OWASP ModSecurity Core Rule Set for HTTP multipart requests using character encoding in the Content-Type or Content-Transfer-Encoding headerEPSS 1.2%CVE-2023-27526MEDIUMApache Superset: Improper Authorization check on import chartsEPSS 1.2%CVE-2022-21706HIGHMulti-use invitations can grant access to other organizations in ZulipEPSS 1.2%CVE-2022-1706—A vulnerability was found in Ignition where ignition configs are accessible from unprivileged containers in VMs running on VMware products. EPSS 1.2%CVE-2023-26829CRITICALAn authentication bypass vulnerability in the Password Reset component of Gladinet CentreStack before 13.5.9808 allows remote attackers to sEPSS 1.2%CVE-2024-27138HIGHApache Archiva: disabling user registration is not effectiveEPSS 1.2%CVE-2022-0580HIGHIncorrect Authorization in librenms/librenmsEPSS 1.2%