Fallos del tipo CWE-287

2853 resultados

Autenticação inadequada ou ausente

A aplicação não valida ou valida de forma insuficiente a identidade de quem tenta acessá-la. Quando um usuário diz ser quem é, o sistema acredita sem verificar corretamente, permitindo que atacantes se façam passar por outros usuários ou contas legítimas.

Ejemplo

Um sistema que aceita login apenas com nome de usuário, sem senha. Ou uma API que confia no header 'User-ID' enviado pelo cliente sem validar se aquele usuário realmente existe ou tem sessão ativa. Um atacante simplesmente altera o header e acessa dados de outra conta.

Cómo mitigar

Implemente autenticação robusta: exija múltiplos fatores (senha forte + MFA), valide credenciais contra base de dados segura, use sessões com token assinado e com expiração, nunca confie em dados enviados pelo cliente como prova de identidade. Revise regularmente logs de acesso para detectar abusos.

CVE-2017-20235CRITICALProSoft Technology ICX35-HWC Authentication BypassEPSS 0.5%CVE-2026-21633HIGHA malicious actor with access to the adjacent network could obtain unauthorized access to a UniFi Protect Camera by exploiting a discovery pEPSS 0.5%CVE-2026-47718MEDIUMFUXA provides guest and invalid-token access to protected read APIs in secure modeEPSS 0.5%CVE-2026-5722CRITICALMoreConvert Pro <= 1.9.14 - Authentication Bypass via Waitlist Guest Verification Token ReuseEPSS 0.5%CVE-2025-27621HIGHUpTrain has a Constant Default API KeyEPSS 0.5%CVE-2023-35901LOWIBM Robotic Process Automation security bypassEPSS 0.5%CVE-2026-84114MEDIUMCleo Harmony SAML Authentication LocalUserUtil.getNativeUserByAssertions improper authenticationEPSS 0.5%CVE-2024-38810MEDIUMMissing Authorization When Using @AuthorizeReturnObjectEPSS 0.5%CVE-2025-53845MEDIUMAn improper authentication vulnerability [CWE-287] in Fortinet FortiAnalyzer version 7.6.0 through 7.6.3 and before 7.4.6 allows an unauthenEPSS 0.5%CVE-2026-34500MEDIUMApache Tomcat: OCSP checks sometimes soft-fail with FFM even when soft-fail is disabledEPSS 0.5%CVE-2025-7115MEDIUMrowboatlabs rowboat Session route.ts PUT missing authenticationEPSS 0.5%CVE-2026-16905MEDIUMIBM Db2 Mirror for i is affected by multiple vulnerabilitiesEPSS 0.5%CVE-2026-73777HIGHAuthorization Bypass Vulnerabilities Leading to Privilege Escalation in AOS-CX API EndpointEPSS 0.5%CVE-2026-7714MEDIUMcrocodilestick Calibre-Web-Automated Admin Endpoint cwa_functions.py missing authenticationEPSS 0.5%CVE-2026-109372CRITICALZITADEL 3.0.0 before 4.19.2 Account Takeover via SAML Identity-Provider ConfusionEPSS 0.5%CVE-2022-46829HIGHIn JetBrains JetBrains Gateway before 2022.3 a client could connect without a valid token if the host consented.EPSS 0.5%CVE-2026-68760MEDIUMPotential remember-me authentication bypass in JFrog ArtifactoryEPSS 0.5%CVE-2025-62349HIGHSalt Master authentication protocol downgrade may enable minion impersonationEPSS 0.5%CVE-2026-79938HIGHDell PowerProtect Cyber Recovery, versions prior to 20.3, contain an Improper Authentication vulnerability. A low privileged attacker with rEPSS 0.5%CVE-2026-76684HIGHAuthentication Bypass Vulnerabilities in HPE Networking EdgeConnect SD-WAN Orchestrator APIEPSS 0.5%