Fallos del tipo CWE-288

746 resultados

Controle de acesso inadequado

A aplicação falha em validar corretamente se um usuário tem permissão para executar uma ação ou acessar um recurso específico. Sem essa validação, um atacante consegue contornar restrições e executar operações que deveria estar proibido (ler dados sensíveis, modificar registros de outros usuários, acessar áreas administrativas, etc.).

Ejemplo

Um sistema bancário permite que qualquer usuário autenticado mude a senha de qualquer outra conta apenas alterando o ID de usuário na requisição, sem verificar se aquele usuário é realmente o dono da conta ou um administrador autorizado.

Cómo mitigar

Implemente verificações de autorização em toda requisição sensível: valide se o usuário logado é realmente quem deveria estar fazendo aquela ação (propriedade, role, permissão explícita). Centralize essa lógica em um componente de controle de acesso reutilizável e teste-a sistematicamente com usuários de diferentes perfis.

CVE-2021-4353MEDIUMWooCommerce Dynamic Pricing and Discounts <= 2.4.1 - Unauthenticated Settings Import/ExportEPSS 0.7%CVE-2024-3496HIGHAuthentication Bypass VulnerabilityEPSS 0.7%CVE-2024-1646HIGHAuthentication Bypass in parisneo/lollms-webuiEPSS 0.7%CVE-2024-6397CRITICALInstaWP Connect – 1-click WP Staging & Migration <= 0.1.0.44 - Authentication Bypass to AdminEPSS 0.7%CVE-2020-17409MEDIUMThis vulnerability allows network-adjacent attackers to disclose sensitive information on affected installations of NETGEAR R6120, R6080, R6EPSS 0.7%CVE-2025-66200MEDIUMApache HTTP Server: mod_userdir+suexec bypass via AllowOverride FileInfoEPSS 0.7%CVE-2025-7710CRITICALBrave Conversion Engine (PRO) <= 0.7.7 - Authentication Bypass to AdministratorEPSS 0.7%CVE-2025-51381CRITICALAn authentication bypass vulnerability exists in KCM3100 Ver1.4.2 and earlier. If this vulnerability is exploited, an attacker may bypass thEPSS 0.7%CVE-2026-79850CRITICALAuthentication Bypass Leading to Remote Code Execution in AOS-8EPSS 0.7%CVE-2026-79844CRITICALAuthentication Bypass Leading to Remote Code Execution in AOS-10EPSS 0.7%CVE-2025-53187CRITICALUnauthenticated RCEEPSS 0.7%CVE-2025-31095CRITICALWordPress Material Dashboard plugin <= 1.4.5 - Privilege Escalation VulnerabilityEPSS 0.7%CVE-2024-2013CRITICALAn authentication bypass vulnerability exists in the FOXMAN-UN/UNEM server / API Gateway component that if exploited allows attackers withouEPSS 0.7%CVE-2023-50915MEDIUMAn issue exists in GalaxyClientService.exe in GOG Galaxy (Beta) 2.0.67.2 through 2.0.71.2 that could allow authenticated users to overwrite EPSS 0.7%CVE-2024-6328CRITICALMStore API – Create Native Android & iOS Apps On The Cloud <= 4.14.7 - Authentication BypassEPSS 0.7%CVE-2025-1909CRITICALBuddyBoss Platform Pro <= 2.7.01 - Authentication Bypass via Apple OAuth providerEPSS 0.7%CVE-2025-1061CRITICALNextend Social Login Pro <= 3.1.16 - Authentication Bypass via Apple OAuth providerEPSS 0.7%CVE-2025-24095HIGHThis issue was addressed with additional entitlement checks. This issue is fixed in iOS 18.4 and iPadOS 18.4, visionOS 2.4. An app may be abEPSS 0.7%CVE-2026-5268CRITICALSFTP Server Authentication WeaknessEPSS 0.7%CVE-2024-9893CRITICALNextend Social Login Pro <= 3.1.14 - Authentication Bypass via WordPress.com OAuth providerEPSS 0.7%