Fallos del tipo CWE-288

747 resultados

Controle de acesso inadequado

A aplicação falha em validar corretamente se um usuário tem permissão para executar uma ação ou acessar um recurso específico. Sem essa validação, um atacante consegue contornar restrições e executar operações que deveria estar proibido (ler dados sensíveis, modificar registros de outros usuários, acessar áreas administrativas, etc.).

Ejemplo

Um sistema bancário permite que qualquer usuário autenticado mude a senha de qualquer outra conta apenas alterando o ID de usuário na requisição, sem verificar se aquele usuário é realmente o dono da conta ou um administrador autorizado.

Cómo mitigar

Implemente verificações de autorização em toda requisição sensível: valide se o usuário logado é realmente quem deveria estar fazendo aquela ação (propriedade, role, permissão explícita). Centralize essa lógica em um componente de controle de acesso reutilizável e teste-a sistematicamente com usuários de diferentes perfis.

CVE-2025-54725CRITICALWordPress Golo Theme <= 1.7.0 - Broken Authentication VulnerabilityEPSS 0.4%CVE-2025-10653HIGHRaise3D Pro2 Series 3D Printers Authentication Bypass Using an Alternate Path or ChannelEPSS 0.4%CVE-2026-84360HIGHNginx UI: OTP secure-session step-up can be bypassed via MCP configuration toolsEPSS 0.4%CVE-2025-64236CRITICALWordPress Tuturn plugin < 3.6 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2025-67998HIGHWordPress Miraculous Elementor plugin <= 2.0.7 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-116638HIGHThe Windows Recovery Environment (WinRE) in Windows 10 and 11 may allow an attacker to bypass firmware security controls, including administEPSS 0.4%CVE-2022-30623MEDIUMChcnav - P5E GNSS Authentication bypassEPSS 0.4%CVE-2026-81787MEDIUMWordPress IMPress for IDX Broker plugin <= 3.3.0 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-66425MEDIUMWordPress Gutena Forms – Contact Form, Survey Form, Feedback Form, Booking Form, and Custom Form Builder plugin <= 1.9.0 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-59524MEDIUMWordPress Easy Digital Downloads plugin <= 3.6.7 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-73399MEDIUMWordPress Flutterwave WooCommerce plugin <= 3.3.0 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2026-73398MEDIUMWordPress Piraeus Bank WooCommerce Payment Gateway plugin 3.2.0 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2022-3614MEDIUMIn affected versions of Octopus Deploy users of certain browsers using AD to sign-in to Octopus Server were able to bypass authentication chEPSS 0.4%CVE-2026-57134HIGHPraisonAI MCPSecurity Basic/OAuth authentication policies accept invalid credentials without validationEPSS 0.4%CVE-2026-63587HIGHSMS Password Authorization Bypass via Failed Attempt CounterEPSS 0.4%CVE-2025-51452CRITICALIn TOTOLINK A7000R firmware 9.1.0u.6115_B20201022, an attacker can bypass login by sending a specific request through formLoginAuth.htm.EPSS 0.4%CVE-2026-8321MEDIUMinkeep agents runAuth Middleware runAuth.ts createDevContext authentication bypassEPSS 0.4%CVE-2024-10284CRITICALCE21 Suite <= 2.2.0 - Authentication BypassEPSS 0.4%CVE-2026-22341MEDIUMWordPress Booked plugin <= 3.0.0 - Account Takeover vulnerabilityEPSS 0.4%CVE-2024-21491MEDIUMVersions of the package svix before 1.17.0 are vulnerable to Authentication Bypass due to an issue in the verify function where signatures oEPSS 0.4%