Fallos del tipo CWE-284

7967 resultados

Controle de acesso insuficiente ou ausente

A aplicação não valida corretamente quem pode acessar determinado recurso (arquivo, API, função, dados), permitindo que usuários não autorizados façam operações que deveriam estar bloqueadas. É um dos problemas mais comuns em segurança: sem autenticação e autorização robustas, qualquer um consegue fazer o que não deveria.

Ejemplo

Um admin panel acessível via /admin sem login real, ou uma API que retorna dados de qualquer usuário basta mudar um ID na URL sem verificar se você tem permissão. Outro caso: arquivo de configuração com credenciais exposto publicamente porque a aplicação não define permissões de leitura no servidor.

Cómo mitigar

Implemente autenticação forte (sessões, tokens JWT) e autorização em toda operação sensível — verifique explicitamente se o usuário logado tem permissão antes de retornar dados ou executar ações. Use listas de controle de acesso (ACL) ou Role-Based Access Control (RBAC), e nunca confie em IDs de usuário vindos do cliente sem validação server-side.

CVE-2017-7912—Hanwha Techwin SRN-4000, SRN-4000 firmware versions prior to SRN4000_v2.16_170401, A specially crafted http request and response could allowEPSS 4.4%CVE-2024-25736HIGHAn issue was discovered on WyreStorm Apollo VX20 devices before 1.3.58. Remote attackers can restart the device via a /device/reboot GET reqEPSS 4.3%CVE-2023-26408HIGHZDI-CAN-20712: AnnotsString Object prototype pollution Restrictions Bypass VulnerabilityEPSS 4.3%CVE-2023-26406HIGHZDI-CAN-20712: Net.HTTP.request URL restriction bypassEPSS 4.2%CVE-2021-27258CRITICALThis vulnerability allows remote attackers to execute escalate privileges on affected installations of SolarWinds Orion Platform 2020.2. AutEPSS 4.1%CVE-2024-46627CRITICALIncorrect access control in BECN DATAGERRY v2.2 allows attackers to execute arbitrary commands via crafted web requests.EPSS 4.1%CVE-2022-21476HIGHVulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: Libraries). Supported versions EPSS 4.0%CVE-2018-15394CRITICALCisco Stealthwatch Management Console Authentication Bypass VulnerabilityEPSS 4.0%CVE-2026-76455CRITICALCisco NX-OS Software Security Hardening Release: October 2026 - Improper Access Control VulnerabilitiesEPSS 4.0%CVE-2025-14528MEDIUMD-Link DIR-803 Configuration getcfg.php information disclosureEPSS 4.0%CVE-2024-0712HIGHByzoro Smart S150 Management Platform userattea.php access controlEPSS 3.9%CVE-2021-26118—Flaw in ActiveMQ Artemis OpenWire supportEPSS 3.9%CVE-2019-15999MEDIUMCisco Data Center Network Manager JBoss EAP Unauthorized Access VulnerabilityEPSS 3.6%CVE-2019-10950—Fujifilm FCR Capsula X/ Carbon X/ FCR XC-2, model versions CR-IR 357 FCR Carbon X, CR-IR 357 FCR XC-2, FCR-IR 357 FCR Capsula X provide inseEPSS 3.6%CVE-2025-54098HIGHWindows Hyper-V Elevation of Privilege VulnerabilityEPSS 3.6%CVE-2026-86242HIGHUnauthenticated RCE via Custom Plugin HTTP Path on Dynamically Linked BuildsEPSS 3.6%CVE-2025-27738MEDIUMWindows Resilient File System (ReFS) Information Disclosure VulnerabilityEPSS 3.6%CVE-2018-14804—Emerson AMS Device Manager v12.0 to v13.5. A specially crafted script may be run that allows arbitrary remote code execution.EPSS 3.5%CVE-2023-31242HIGHAn authentication bypass vulnerability exists in the OAS Engine functionality of Open Automation Software OAS Platform v18.00.0072. A speciaEPSS 3.5%CVE-2026-20843HIGHWindows Routing and Remote Access Service (RRAS) Elevation of Privilege VulnerabilityEPSS 3.4%