Fallos del tipo CWE-287

2853 resultados

Autenticação inadequada ou ausente

A aplicação não valida ou valida de forma insuficiente a identidade de quem tenta acessá-la. Quando um usuário diz ser quem é, o sistema acredita sem verificar corretamente, permitindo que atacantes se façam passar por outros usuários ou contas legítimas.

Ejemplo

Um sistema que aceita login apenas com nome de usuário, sem senha. Ou uma API que confia no header 'User-ID' enviado pelo cliente sem validar se aquele usuário realmente existe ou tem sessão ativa. Um atacante simplesmente altera o header e acessa dados de outra conta.

Cómo mitigar

Implemente autenticação robusta: exija múltiplos fatores (senha forte + MFA), valide credenciais contra base de dados segura, use sessões com token assinado e com expiração, nunca confie em dados enviados pelo cliente como prova de identidade. Revise regularmente logs de acesso para detectar abusos.

CVE-2026-61641HIGHWallos: OIDC account takeover via email-based account linking without `email_verified` checkEPSS 0.5%CVE-2026-17175HIGHIBM Db2 Mirror for i is affected by multiple vulnerabilitiesEPSS 0.5%CVE-2025-54452HIGHImproper Authentication vulnerability in Samsung Electronics MagicINFO 9 Server allows Authentication Bypass.This issue affects MagicINFO 9 EPSS 0.5%CVE-2023-25790MEDIUMWordPress WoodMart theme <= 7.0.4 - Unauth Arbitrary Shortcodes InjectionEPSS 0.5%CVE-2026-44986CRITICALPenpot: Pre-authenticated account takeover via team-invitation token + prepare-register-profileEPSS 0.5%CVE-2026-16972MEDIUMVulnerabilities in IBM AIX and PowerVM VIOSEPSS 0.5%CVE-2022-39018HIGHBroken access controls on PDFtron data in M-Files HubshareEPSS 0.5%CVE-2024-10020HIGHHeateor Social Login WordPress <= 1.1.35 - Authentication Bypass via Disqus OAuth providerEPSS 0.5%CVE-2024-47761HIGHGLPI vulnerable to account takeover via the password reset featureEPSS 0.5%CVE-2024-11917HIGHJobSearch WP Job Board <= 2.9.2 - Authentication Bypass via Social LoginsEPSS 0.5%CVE-2026-91323CRITICALVulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Core). Supported versions that are affected areEPSS 0.5%CVE-2025-52553MEDIUMauthentik has Insufficient Session verification for Remote Access Control endpoint accessEPSS 0.5%CVE-2026-83399CRITICALVulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Core). Supported versions that are affected areEPSS 0.5%CVE-2026-42210MEDIUMWebmin 2FA requirement bypassEPSS 0.5%CVE-2018-25236CRITICALHirschmann HiOS HiSecOS Authentication Bypass via HTTP ManagementEPSS 0.5%CVE-2023-26150MEDIUMVersions of the package asyncua before 0.9.96 are vulnerable to Improper Authentication such that it is possible to access Address Space witEPSS 0.5%CVE-2025-22375CRITICALAuthentication Bypass in CyberAudit-WebEPSS 0.5%CVE-2023-25559HIGHSystem account impersonation in DataHubEPSS 0.5%CVE-2024-23637MEDIUMOctoPrint Unverified Password Change via Access Control SettingsEPSS 0.5%CVE-2026-5959HIGHGL.iNet GL-RM1/GL-RM10/GL-RM10RC/GL-RM1PE Factory Reset improper authenticationEPSS 0.5%