Fallos del tipo CWE-287

2853 resultados

Autenticação inadequada ou ausente

A aplicação não valida ou valida de forma insuficiente a identidade de quem tenta acessá-la. Quando um usuário diz ser quem é, o sistema acredita sem verificar corretamente, permitindo que atacantes se façam passar por outros usuários ou contas legítimas.

Ejemplo

Um sistema que aceita login apenas com nome de usuário, sem senha. Ou uma API que confia no header 'User-ID' enviado pelo cliente sem validar se aquele usuário realmente existe ou tem sessão ativa. Um atacante simplesmente altera o header e acessa dados de outra conta.

Cómo mitigar

Implemente autenticação robusta: exija múltiplos fatores (senha forte + MFA), valide credenciais contra base de dados segura, use sessões com token assinado e com expiração, nunca confie em dados enviados pelo cliente como prova de identidade. Revise regularmente logs de acesso para detectar abusos.

CVE-2026-33716CRITICALAVideo Allows Unauthenticated Live Stream Control via Token Verification URL Override in control.json.phpEPSS 0.5%CVE-2025-53889MEDIUMDirectus missing permission checks for manual trigger FlowsEPSS 0.5%CVE-2026-79787CRITICALAlluxio through 2.9.5 S3 REST Proxy Authentication Bypass via Unverified Request SignatureEPSS 0.5%CVE-2025-62169HIGHOctoPrint-SpoolManager Plugin APIs do not enforce authenticationEPSS 0.5%CVE-2026-13597CRITICALQRcode Login for WeChat <= 1.3 - Unauthenticated Account TakeoverEPSS 0.5%CVE-2025-59280LOWWindows SMB Client Tampering VulnerabilityEPSS 0.5%CVE-2021-4314MEDIUMIt is possible to manipulate the JWT token without the knowledge of the JWT secret and authenticate without valid JWT token as any user. ThiEPSS 0.5%CVE-2026-93964MEDIUMNginxProxyManager nginx-proxy-manager Validate Route certificate.js internalCertificate.validate missing authenticationEPSS 0.5%CVE-2026-7722MEDIUMPrefectHQ prefect Health Check API health endswith improper authenticationEPSS 0.5%CVE-2026-56345CRITICALAVideo - Arbitrary User Session Hijacking via Meet Plugin uploadRecordedVideo EndpointEPSS 0.5%CVE-2025-6926HIGHSecurity Authentication Bypass in CentralAuthEPSS 0.5%CVE-2025-30114CRITICALAn issue was discovered on the Forvia Hella HELLA Driving Recorder DR 820. Bypassing of Device Pairing can occur. The pairing mechanism reliEPSS 0.5%CVE-2024-44843MEDIUMAn issue in the web socket handshake process of SteVe v3.7.1 allows attackers to bypass authentication and execute arbitrary coammands via sEPSS 0.5%CVE-2026-62264HIGHPDF Reader MCP: HTTP transport accepts unauthenticated requests despite a configured MCP_API_KEYEPSS 0.5%CVE-2025-10423MEDIUMnewbee-mall kaptcha mallKaptcha CaptchaEPSS 0.5%CVE-2023-47189MEDIUMWordPress Defender Security plugin <= 4.2.0 - Masked Login Area View Bypass vulnerabilityEPSS 0.5%CVE-2025-3910MEDIUMOrg.keycloak.authentication: two factor authentication bypassEPSS 0.4%CVE-2022-0916HIGHBroken authentication on Logitech Options due to misvalidation of Oauth state parameterEPSS 0.4%CVE-2024-7870MEDIUMPixelYourSite – Your smart PIXEL (TAG) & API Manager <= 9.7.1 and PixelYourSite PRO <= 10.4.2 - Unauthenticated Information Exposure and Log DeletionEPSS 0.4%CVE-2025-58065MEDIUMFlask App Builder has an Authentication Bypass vulnerability when using non AUTH_DB methodsEPSS 0.4%