Fallos del tipo CWE-288

747 resultados

Controle de acesso inadequado

A aplicação falha em validar corretamente se um usuário tem permissão para executar uma ação ou acessar um recurso específico. Sem essa validação, um atacante consegue contornar restrições e executar operações que deveria estar proibido (ler dados sensíveis, modificar registros de outros usuários, acessar áreas administrativas, etc.).

Ejemplo

Um sistema bancário permite que qualquer usuário autenticado mude a senha de qualquer outra conta apenas alterando o ID de usuário na requisição, sem verificar se aquele usuário é realmente o dono da conta ou um administrador autorizado.

Cómo mitigar

Implemente verificações de autorização em toda requisição sensível: valide se o usuário logado é realmente quem deveria estar fazendo aquela ação (propriedade, role, permissão explícita). Centralize essa lógica em um componente de controle de acesso reutilizável e teste-a sistematicamente com usuários de diferentes perfis.

CVE-2026-40790MEDIUMWordPress WP SMS plugin <= 7.2.1 - Sensitive Data Exposure vulnerabilityEPSS 0.3%CVE-2026-63493HIGHSnipe-IT: 2FA bypass via the API token flowEPSS 0.3%CVE-2026-58073CRITICALA vulnerability in Veeam Service Provider Console allowing an unauthenticated attacker to impersonate a managed agent andobtain that agent'sEPSS 0.3%CVE-2025-48011MEDIUMOne Time Password - Moderately critical - Access bypass - SA-CONTRIB-2025-062EPSS 0.3%CVE-2026-83787MEDIUMWindows DHCP Server Security Feature Bypass VulnerabilityEPSS 0.3%CVE-2026-123618HIGHABP Framework before 10.7.1 Authentication Bypass via External Login ProviderEPSS 0.3%CVE-2026-88260HIGHAuthentication bypass using an alternate path or channel and Improper validation of syntactic correctness of input vulnerability in BrainzcoEPSS 0.3%CVE-2025-10571CRITICALABB Ability Edgenius Authentication BypassEPSS 0.3%CVE-2026-81168LOWCAPTCHA Protected Page - Moderately critical - Cookie Forgery - SA-CONTRIB-2026-105EPSS 0.3%CVE-2017-6871—A vulnerability was discovered in Siemens SIMATIC WinCC Sm@rtClient for Android (All versions before V1.0.2.2) and SIMATIC WinCC Sm@rtClientEPSS 0.3%CVE-2025-15102CRITICALDVP-12SE11T - Password Protection BypassEPSS 0.3%CVE-2026-32004HIGHOpenClaw < 2026.3.2 - Authentication Bypass via Encoded Path in /api/channels RouteEPSS 0.3%CVE-2026-42629HIGHWordPress PowerPack Pro for Elementor plugin < v2.13.0 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2026-3035MEDIUMAuthentication Bypass Using an Alternate Path or Channel in GitLabEPSS 0.3%CVE-2026-33315MEDIUMVikunja has a 2FA Bypass via Caldav Basic AuthEPSS 0.3%CVE-2025-55623MEDIUMAn issue in the lock screen component of Reolink v4.54.0.4.20250526 allows attackers to bypass authentication via using an ADB (Android DebuEPSS 0.3%CVE-2026-42303MEDIUMFides: Privacy Request Identity Verification Bypass Vulnerability via Duplicate DetectionEPSS 0.3%CVE-2026-40799MEDIUMWordPress Simple Cloudflare Turnstile plugin <= 1.38.0 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2026-84923MEDIUMEmail Verification / SMS Verification / OTP Verification - Critical - Access Bypass - SA-CONTRIB-2026-124EPSS 0.3%CVE-2026-6771CRITICALMitigation bypass in the DOM: Security componentEPSS 0.3%