Fallos del tipo CWE-288

747 resultados

Controle de acesso inadequado

A aplicação falha em validar corretamente se um usuário tem permissão para executar uma ação ou acessar um recurso específico. Sem essa validação, um atacante consegue contornar restrições e executar operações que deveria estar proibido (ler dados sensíveis, modificar registros de outros usuários, acessar áreas administrativas, etc.).

Ejemplo

Um sistema bancário permite que qualquer usuário autenticado mude a senha de qualquer outra conta apenas alterando o ID de usuário na requisição, sem verificar se aquele usuário é realmente o dono da conta ou um administrador autorizado.

Cómo mitigar

Implemente verificações de autorização em toda requisição sensível: valide se o usuário logado é realmente quem deveria estar fazendo aquela ação (propriedade, role, permissão explícita). Centralize essa lógica em um componente de controle de acesso reutilizável e teste-a sistematicamente com usuários de diferentes perfis.

CVE-2026-19622HIGHIBM Planning Analytics Local is affected by security vulnerabilitiesEPSS 0.3%CVE-2026-22037HIGH@fastify/express vulnerable to Improper Handling of URL Encoding (Hex Encoding)EPSS 0.3%CVE-2026-22731HIGHAuthentication Bypass under Actuator Health groups pathsEPSS 0.3%CVE-2026-107671HIGHA vulnerability allowing an attacker with valid Administrator credentials to bypass multi-factor authentication by disabling it globally befEPSS 0.3%CVE-2026-56243HIGHCapgo - Hashed API Key Enforcement Bypass via PostgREST/RLS PlaneEPSS 0.3%CVE-2020-37156MEDIUMBloodX 1.0 - Authentication BypassEPSS 0.3%CVE-2025-67507HIGHFilament's multi-factor authentication (app) recovery codes can be used multiple timesEPSS 0.3%CVE-2026-79680MEDIUMAuthentication bypass vulnerability in the password authentication mechanism of the Qt VNC Server moduleEPSS 0.3%CVE-2026-25439HIGHWordPress Booknetic plugin < 5.10.3 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2022-31022MEDIUMMissing Role Based Access Control for the REST handlers in bleve/http packageEPSS 0.3%CVE-2025-64173HIGHApollo Router Core: Access Control Bypass on Polymorphic TypesEPSS 0.3%CVE-2020-10048—A vulnerability has been identified in SIMATIC PCS 7 (All versions), SIMATIC WinCC (All versions < V7.5 SP2). Due to an insecure password veEPSS 0.3%CVE-2026-19620HIGHIBM Planning Analytics Local is affected by security vulnerabilitiesEPSS 0.3%CVE-2023-20003MEDIUMCisco Business Wireless Access Points Social Login Guest User Authentication Bypass VulnerabilityEPSS 0.3%CVE-2026-22060MEDIUMCVE-2026-22060 Authentication Bypass Vulnerability in StorageGRID (formerly StorageGRID Webscale)EPSS 0.3%CVE-2026-73578—Apache OFBiz: Unauthenticated saved-view authorization bypass with RCE impactEPSS 0.3%CVE-2026-90481CRITICALIn PortSwigger Burp Suite DAST (formerly Burp Suite Enterprise Edition) before 2026.8, an authentication bypass can occur via an alternate pEPSS 0.3%CVE-2025-9914MEDIUMThe credentials of the users stored in the system's local database can be used for the log in, making it possible for an attacker to gain unEPSS 0.3%CVE-2026-58517MEDIUMBlocked users can create and edit WikiLambda objectsEPSS 0.3%CVE-2026-66451MEDIUMWordPress WP Event SOlution plugin <= 4.1.9 - Broken Authentication vulnerabilityEPSS 0.3%