Fallos del tipo CWE-284

7968 resultados

Controle de acesso insuficiente ou ausente

A aplicação não valida corretamente quem pode acessar determinado recurso (arquivo, API, função, dados), permitindo que usuários não autorizados façam operações que deveriam estar bloqueadas. É um dos problemas mais comuns em segurança: sem autenticação e autorização robustas, qualquer um consegue fazer o que não deveria.

Ejemplo

Um admin panel acessível via /admin sem login real, ou uma API que retorna dados de qualquer usuário basta mudar um ID na URL sem verificar se você tem permissão. Outro caso: arquivo de configuração com credenciais exposto publicamente porque a aplicação não define permissões de leitura no servidor.

Cómo mitigar

Implemente autenticação forte (sessões, tokens JWT) e autorização em toda operação sensível — verifique explicitamente se o usuário logado tem permissão antes de retornar dados ou executar ações. Use listas de controle de acesso (ACL) ou Role-Based Access Control (RBAC), e nunca confie em IDs de usuário vindos do cliente sem validação server-side.

CVE-2022-47558CRITICALImproper Access Control in Ormazabal productsEPSS 0.6%CVE-2026-14792MEDIUMFormbricks Survey actions.ts access controlEPSS 0.6%CVE-2024-37289HIGHAn improper access control vulnerability in Trend Micro Apex One could allow a local attacker to escalate privileges on affected installatioEPSS 0.6%CVE-2025-0206MEDIUMcode-projects Online Shoe Store index.php access controlEPSS 0.6%CVE-2023-36889MEDIUMWindows Group Policy Security Feature Bypass VulnerabilityEPSS 0.6%CVE-2020-27873MEDIUMThis vulnerability allows network-adjacent attackers to disclose sensitive information on affected installations of NETGEAR R7450 1.2.0.62_1EPSS 0.6%CVE-2024-0358MEDIUMDeShang DSO2O install.php access controlEPSS 0.6%CVE-2023-30539MEDIUMUsers can set up workflows using restricted and invisible system tags in NextcloudEPSS 0.6%CVE-2022-24038MEDIUMUnauthorized modification in Karmasis Informatics Infraskope SIEM+EPSS 0.6%CVE-2025-43413HIGHAn access issue was addressed with additional sandbox restrictions. This issue is fixed in iOS 26.1 and iPadOS 26.1, macOS Sequoia 15.7.2, mEPSS 0.6%CVE-2022-31024MEDIUMFederated editing allows iframing remote servers by default in richdocumentsEPSS 0.6%CVE-2026-81941HIGHLangflow is vulnerable to arbitrary code execution due to multiple incomplete code security controls and missing execution guardsEPSS 0.6%CVE-2025-7879MEDIUMMetasoft 美特软件 MetaCRM mobileupload.jsp unrestricted uploadEPSS 0.6%CVE-2025-7877MEDIUMMetasoft 美特软件 MetaCRM sendfile.jsp unrestricted uploadEPSS 0.6%CVE-2024-0631MEDIUMDuitku Payment Gateway <= 2.11.6 - Missing Authorization via check_duitku_responseEPSS 0.6%CVE-2024-13110MEDIUMBeijing Yunfan Internet Technology Yunfan Learning Examination System Exam Answer PaperController.java， information disclosureEPSS 0.6%CVE-2016-10549—Sails is an MVC style framework for building realtime web applications. Version 0.12.7 and lower have an issue with the CORS configuration wEPSS 0.6%CVE-2026-51679CRITICALIncorrect access control in the setPasswordCfg function of TOTOLINK T6 4.1.5cu.748_B20211015 allows unauthenticated attackers to change the EPSS 0.6%CVE-2025-3664MEDIUMTOTOLINK A3700R cstecgi.cgi setWiFiEasyGuestCfg access controlEPSS 0.6%CVE-2023-40170MEDIUMcross-site inclusion (XSSI) of files in jupyter-serverEPSS 0.6%