Fallos del tipo CWE-284

7967 resultados

Controle de acesso insuficiente ou ausente

A aplicação não valida corretamente quem pode acessar determinado recurso (arquivo, API, função, dados), permitindo que usuários não autorizados façam operações que deveriam estar bloqueadas. É um dos problemas mais comuns em segurança: sem autenticação e autorização robustas, qualquer um consegue fazer o que não deveria.

Ejemplo

Um admin panel acessível via /admin sem login real, ou uma API que retorna dados de qualquer usuário basta mudar um ID na URL sem verificar se você tem permissão. Outro caso: arquivo de configuração com credenciais exposto publicamente porque a aplicação não define permissões de leitura no servidor.

Cómo mitigar

Implemente autenticação forte (sessões, tokens JWT) e autorização em toda operação sensível — verifique explicitamente se o usuário logado tem permissão antes de retornar dados ou executar ações. Use listas de controle de acesso (ACL) ou Role-Based Access Control (RBAC), e nunca confie em IDs de usuário vindos do cliente sem validação server-side.

CVE-2021-35213HIGHOrion User setting Improper Access Control Privilege Escalation VulnerabilityEPSS 3.4%CVE-2019-3935—Crestron AM-100 with firmware 1.6.0.2 and AM-101 with firmware 2.7.0.2 allows anyone to act as a moderator to a slide show via crafted HTTP EPSS 3.3%CVE-2026-21238HIGHWindows Ancillary Function Driver for WinSock Elevation of Privilege VulnerabilityEPSS 3.3%CVE-2022-21619LOWVulnerability in the Oracle Java SE, Oracle GraalVM Enterprise Edition product of Oracle Java SE (component: Security). Supported versions tEPSS 3.3%CVE-2025-21197MEDIUMWindows NTFS Information Disclosure VulnerabilityEPSS 3.3%CVE-2025-55694HIGHWindows Error Reporting Service Elevation of Privilege VulnerabilityEPSS 3.3%CVE-2026-34234CRITICALCtrlPanel: Unauthenticated RCE using installer scriptEPSS 3.2%CVE-2025-24076HIGHMicrosoft Windows Cross Device Service Elevation of Privilege VulnerabilityEPSS 3.2%CVE-2025-26645HIGHRemote Desktop Client Remote Code Execution VulnerabilityEPSS 3.2%CVE-2025-59512HIGHCustomer Experience Improvement Program (CEIP) Elevation of Privilege VulnerabilityEPSS 3.2%CVE-2020-7561—A CWE-306: Missing Authentication for Critical Function vulnerability exists in Easergy T300 (with firmware 2.7 and older) that could cause EPSS 3.2%CVE-2026-41277HIGHFlowise: Mass Assignment in DocumentStore Create Endpoint Leads to Cross-Workspace Object Takeover (IDOR)EPSS 3.1%CVE-2023-0916MEDIUMSourceCodester Auto Dealer Management System Users.php access controlEPSS 3.1%CVE-2023-29922MEDIUMPowerJob V4.3.1 is vulnerable to Incorrect Access Control via the create user/save interface.EPSS 3.0%CVE-2020-8300—Citrix ADC and Citrix/NetScaler Gateway before 13.0-82.41, 12.1-62.23, 11.1-65.20 and Citrix ADC 12.1-FIPS before 12.1-55.238 suffer from imEPSS 3.0%CVE-2019-15260CRITICALCisco Aironet Access Points Unauthorized Access VulnerabilityEPSS 3.0%CVE-2023-28531—ssh-add in OpenSSH before 9.3 adds smartcard keys to ssh-agent without the intended per-hop destination constraints. The earliest affected vEPSS 3.0%CVE-2022-32800MEDIUMThis issue was addressed with improved checks. This issue is fixed in Security Update 2022-005 Catalina, macOS Big Sur 11.6.8, macOS MontereEPSS 3.0%CVE-2019-9884CRITICALeClass platform contains a Broken Access Control vulnerabilityEPSS 3.0%CVE-2025-27140CRITICALWeGIA vulnerable to OS Command Injection at endpoint 'importar_dump.php' parameter 'import' (RCE)EPSS 2.9%