Fallos del tipo CWE-288

746 resultados

Controle de acesso inadequado

A aplicação falha em validar corretamente se um usuário tem permissão para executar uma ação ou acessar um recurso específico. Sem essa validação, um atacante consegue contornar restrições e executar operações que deveria estar proibido (ler dados sensíveis, modificar registros de outros usuários, acessar áreas administrativas, etc.).

Ejemplo

Um sistema bancário permite que qualquer usuário autenticado mude a senha de qualquer outra conta apenas alterando o ID de usuário na requisição, sem verificar se aquele usuário é realmente o dono da conta ou um administrador autorizado.

Cómo mitigar

Implemente verificações de autorização em toda requisição sensível: valide se o usuário logado é realmente quem deveria estar fazendo aquela ação (propriedade, role, permissão explícita). Centralize essa lógica em um componente de controle de acesso reutilizável e teste-a sistematicamente com usuários de diferentes perfis.

CVE-2026-62101CRITICALWordPress EduAdmin Booking plugin <= 5.4.2 - Broken Authentication vulnerabilityEPSS 0.6%CVE-2026-66453CRITICALWordPress Salon booking system plugin <= 10.30.26 - Broken Authentication vulnerabilityEPSS 0.6%CVE-2026-74001CRITICALWordPress User Registration & Membership Pro plugin <= 5.4.5 - Account Takeover vulnerabilityEPSS 0.6%CVE-2026-66465CRITICALWordPress Cartify theme <= 1.3.0.1 - Account Takeover vulnerabilityEPSS 0.6%CVE-2025-7444CRITICALLoginPress Pro <= 5.0.1 - Authentication Bypass via WordPress.com OAuth providerEPSS 0.6%CVE-2025-31019HIGHWordPress Password Policy Manager plugin <= 2.0.4 - Account Takeover vulnerabilityEPSS 0.6%CVE-2024-6684CRITICALAuthentication Bypass in GST Electronics' inohom Nova Panel N7EPSS 0.6%CVE-2024-2012CRITICALvulnerability exists in the FOXMAN-UN/UNEM server / API Gateway that if exploited an attacker could use to allow unintended commands or codEPSS 0.6%CVE-2026-2791CRITICALMitigation bypass in the Networking: Cache componentEPSS 0.6%CVE-2026-57867HIGHMicroRealEstate allows adversaries to bypass authentication due to a lack of token state management. This would permit adversaries targetingEPSS 0.6%CVE-2026-2096CRITICALFlowring｜Agentflow - Missing AuthenticatonEPSS 0.6%CVE-2024-37893MEDIUMMFA bypass in oauth flow in Firefly IIIEPSS 0.6%CVE-2025-63217CRITICALThe Itel DAB MUX (IDMUX build c041640a) is vulnerable to Authentication Bypass due to improper JWT validation across devices. Attackers can EPSS 0.6%CVE-2023-46319—WALLIX Bastion 9.x before 9.0.9 and 10.x before 10.0.5 allows unauthenticated access to sensitive information by bypassing access control onEPSS 0.6%CVE-2025-1283CRITICALDingtian DT-R0 Series Authentication Bypass Using an Alternate Path or ChannelEPSS 0.6%CVE-2025-1717HIGHLogin Me Now <= 1.7.2 - Authentication BypassEPSS 0.6%CVE-2025-46412CRITICALVertiv Liebert RDU101 and UNITY Authentication Bypass Using an Alternate Path or ChannelEPSS 0.6%CVE-2024-5204HIGHSwiss Toolkit For WP <= 1.0.7 - Authenticated (Contributor+) Authentication BypassEPSS 0.6%CVE-2026-24206HIGHNVIDIA Triton Inference Server contains a vulnerability where an attacker could cause an authentication bypass. A successful exploit of thisEPSS 0.6%CVE-2024-4544CRITICALPie Register - Social Sites Login (Add on) <= 1.7.7 - Authentication BypassEPSS 0.6%