Fallos del tipo CWE-287

2853 resultados

Autenticação inadequada ou ausente

A aplicação não valida ou valida de forma insuficiente a identidade de quem tenta acessá-la. Quando um usuário diz ser quem é, o sistema acredita sem verificar corretamente, permitindo que atacantes se façam passar por outros usuários ou contas legítimas.

Ejemplo

Um sistema que aceita login apenas com nome de usuário, sem senha. Ou uma API que confia no header 'User-ID' enviado pelo cliente sem validar se aquele usuário realmente existe ou tem sessão ativa. Um atacante simplesmente altera o header e acessa dados de outra conta.

Cómo mitigar

Implemente autenticação robusta: exija múltiplos fatores (senha forte + MFA), valide credenciais contra base de dados segura, use sessões com token assinado e com expiração, nunca confie em dados enviados pelo cliente como prova de identidade. Revise regularmente logs de acesso para detectar abusos.

CVE-2026-102245MEDIUMMODSetter SurfSense circleback Endpoint circleback_webhook_route.py missing authenticationEPSS 0.4%CVE-2026-6456HIGHAccount Switcher <= 1.0.2 - Authenticated (Subscriber+) Authentication Bypass to Privilege EscalationEPSS 0.4%CVE-2026-121926MEDIUMyezhihao jt808-server Web Management API WebMvcConfig.addInterceptors missing authenticationEPSS 0.4%CVE-2026-89136HIGHClient accepts unsolicited RawPublicKey server certificate typeEPSS 0.4%CVE-2026-32730HIGHApostropheCMS MFA/TOTP Bypass via Incorrect MongoDB Query in Bearer Token MiddlewareEPSS 0.4%CVE-2026-49447MEDIUMCosmos-Server's constellation public-devices endpoint accepts arbitrary bearer tokensEPSS 0.4%CVE-2026-105640CRITICALPlane: Account Takeover via Unverified OAuth Email Match (Gitea, self-managed GitLab)EPSS 0.4%CVE-2026-46485HIGHDash: Users can write to config despire permissions (OIDC tested)EPSS 0.4%CVE-2026-112103MEDIUMf3-factory fatfree-core HTTP Client web.php _curl certificate validationEPSS 0.4%CVE-2026-14300HIGHminiOrange Social Login and Register < 7.8.0 - Unauthenticated Account TakeoverEPSS 0.4%CVE-2026-19718HIGHBlogVault, MalCare and WP Remote 5.16 - 6.62 - Unauthenticated Site Takeover via Connection Key RecoveryEPSS 0.4%CVE-2026-14309HIGHChat On Desk < 1.0.9 - Unauthenticated Account Takeover via Password Reset OTP BypassEPSS 0.4%CVE-2026-97231MEDIUMvolotat Anagnorisis Socket.IO Connect app.py missing authenticationEPSS 0.4%CVE-2026-105307MEDIUMCasdoor API Endpoint authz_filter.go ApiFilter missing authenticationEPSS 0.4%CVE-2026-18469HIGHLogin & Register Forms < 4.0.2 - Unauthenticated Account Takeover via Password Reset Code Brute ForceEPSS 0.4%CVE-2026-76688HIGHAuthentication Bypass Vulnerabilities in the Web-Based Management Interface of EdgeConnect SD-WAN OrchestratorEPSS 0.4%CVE-2026-102248MEDIUMRebuild Login Endpoint login improper authenticationEPSS 0.4%CVE-2026-12585HIGHAbandoned Cart Lite for WooCommerce < 6.8.2 - Unauthenticated Account Takeover via Malleable Recovery-Link TokenEPSS 0.4%CVE-2026-123816HIGHpyLoad: Authentication bypass in API key validation (check_apikey cache)EPSS 0.4%CVE-2026-14836HIGHLogin/Signup Popup < 3.2.5 - Unauthenticated Account Takeover via Password Reset Rate Limit BypassEPSS 0.4%