Fallos del tipo CWE-288

747 resultados

Controle de acesso inadequado

A aplicação falha em validar corretamente se um usuário tem permissão para executar uma ação ou acessar um recurso específico. Sem essa validação, um atacante consegue contornar restrições e executar operações que deveria estar proibido (ler dados sensíveis, modificar registros de outros usuários, acessar áreas administrativas, etc.).

Ejemplo

Um sistema bancário permite que qualquer usuário autenticado mude a senha de qualquer outra conta apenas alterando o ID de usuário na requisição, sem verificar se aquele usuário é realmente o dono da conta ou um administrador autorizado.

Cómo mitigar

Implemente verificações de autorização em toda requisição sensível: valide se o usuário logado é realmente quem deveria estar fazendo aquela ação (propriedade, role, permissão explícita). Centralize essa lógica em um componente de controle de acesso reutilizável e teste-a sistematicamente com usuários de diferentes perfis.

CVE-2021-33017HIGHPhilips IntelliBridge EC 40 and EC 80 Hub Authentication Bypass Using an Alternate Path or ChannelEPSS 0.5%CVE-2024-9522HIGHWP Users Masquerade <= 2.0.0 - Authenticated (Subscriber+) Authentication BypassEPSS 0.5%CVE-2026-26117HIGHArc Enabled Servers - Azure Connected Machine Agent Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2026-12225HIGHsyracom Secure Login (2FA) for Confluence allows 2FA bypass via spoofed User-AgentEPSS 0.5%CVE-2026-57697HIGHWordPress ProfileGrid plugin <= 5.9.9.6 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2025-47244HIGHInedo ProGet through 2024.22 allows remote attackers to reach restricted functionality through the C# reflection layer, as demonstrated by cEPSS 0.5%CVE-2025-10538HIGHAuthentication Bypass in LG Innotek CameraEPSS 0.5%CVE-2026-3461CRITICALVisa Acceptance Solutions <= 2.1.0 - Unauthenticated Authentication Bypass via Billing EmailEPSS 0.5%CVE-2026-50191HIGH4gaBoards: Pre-Account Takeover via SSO Email LinkageEPSS 0.5%CVE-2025-4687HIGHAccount pre-hijacking through invite misuseEPSS 0.5%CVE-2026-33843CRITICALMicrosoft Azure Active Directory B2C Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2025-64281CRITICALAn Authentication Bypass issue in CentralSquare Community Development 19.5.7 allows attackers to access the admin panel without admin credenEPSS 0.5%CVE-2025-60041HIGHWordPress Emails Catch All plugin <= 3.5.3 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2019-5453—Bypass lock protection in the Nextcloud Android app prior to version 3.3.0 allowed access to files when being prompted for the lock protectiEPSS 0.5%CVE-2025-47941HIGHTYPO3 Has Broken Authentication in Backend MFAEPSS 0.5%CVE-2026-75045CRITICALIn JetBrains YouTrack before 2025.3.156085, 2026.1.13913, 2026.2.18112 an unauthenticated attacker could download database backups via shaEPSS 0.5%CVE-2026-91143MEDIUMgoproxy through 15.3 Authentication Bypass via CONNECTEPSS 0.5%CVE-2026-12579HIGHAS228T - Authentication Bypass VulnerabilityEPSS 0.5%CVE-2024-36470HIGHIn JetBrains TeamCity before 2022.04.7, 2022.10.6, 2023.05.6, 2023.11.5 authentication bypass was possible in specific edge casesEPSS 0.5%CVE-2024-47574HIGHA authentication bypass using an alternate path or channel in Fortinet FortiClientWindows version 7.4.0, versions 7.2.4 through 7.2.0, versiEPSS 0.5%