Fallos del tipo CWE-288

747 resultados

Controle de acesso inadequado

A aplicação falha em validar corretamente se um usuário tem permissão para executar uma ação ou acessar um recurso específico. Sem essa validação, um atacante consegue contornar restrições e executar operações que deveria estar proibido (ler dados sensíveis, modificar registros de outros usuários, acessar áreas administrativas, etc.).

Ejemplo

Um sistema bancário permite que qualquer usuário autenticado mude a senha de qualquer outra conta apenas alterando o ID de usuário na requisição, sem verificar se aquele usuário é realmente o dono da conta ou um administrador autorizado.

Cómo mitigar

Implemente verificações de autorização em toda requisição sensível: valide se o usuário logado é realmente quem deveria estar fazendo aquela ação (propriedade, role, permissão explícita). Centralize essa lógica em um componente de controle de acesso reutilizável e teste-a sistematicamente com usuários de diferentes perfis.

CVE-2022-22189HIGHContrail Service Orchestration: An authenticated local user may have their permissions elevated via the device via management interface without authenticationEPSS 0.2%CVE-2020-11005MEDIUMInternal NCryptDecrypt method could be used externally from WindowsHello library.EPSS 0.2%CVE-2025-3652MEDIUMPetlibro Smart Pet Feeder Platform through 1.7.31 Audio Information Disclosure via API endpointEPSS 0.2%CVE-2026-47200MEDIUMNuxt: Route middleware not enforced when rendering `.server.vue` pages via `/__nuxt_island/page_*`EPSS 0.2%CVE-2026-118582HIGHCAPTCHA - Moderately critical - Session Replay (CAPTCHA bypass) - SA-CONTRIB-2026-281EPSS 0.2%CVE-2026-107361MEDIUMAuthentication Bypass Using an Alternate Path or Channel in MalcolmEPSS 0.2%CVE-2026-0948MEDIUMMicrosoft Entra ID SSO Login - Critical - Access bypass - SA-CONTRIB-2026-005EPSS 0.2%CVE-2025-12431MEDIUMInappropriate implementation in Extensions in Google Chrome prior to 142.0.7444.59 allowed an attacker who convinced a user to install a malEPSS 0.2%CVE-2026-111712MEDIUMNetcore NR256CN through 1.5.140116 Authentication Bypass via CGI Path PrefixEPSS 0.2%CVE-2021-32958MEDIUMClaroty Secure Remote Access Site - Authentication Bypass Using an Alternate Path or ChannelEPSS 0.2%CVE-2025-55012HIGHZed AI Agent Remote Code ExecutionEPSS 0.2%CVE-2021-35530MEDIUMUser authentication bypass in TXpert Hub CoreTec 4EPSS 0.2%CVE-2024-29853HIGHAn authentication bypass vulnerability in Veeam Agent for Microsoft Windows allows for local privilege escalation.EPSS 0.2%CVE-2026-107254MEDIUMAuthenticator Login Plus (2FA) - Critical - Improper authentication - SA-CONTRIB-2026-197EPSS 0.2%CVE-2026-2540HIGHMicca KE700 Acceptance of previously used rolling codesEPSS 0.2%CVE-2022-23725HIGHPingID Windows Login prior to 2.8 does not properly set permissions on the Windows Registry entries used to store sensitive API keys under some circumstancesEPSS 0.2%CVE-2025-59392MEDIUMOn Elspec G5 devices through 1.2.2.19, a person with physical access to the device can reset the Admin password by inserting a USB drive (coEPSS 0.2%CVE-2026-114572MEDIUMDomain Login Restrict - Moderately critical - Access bypass - SA-CONTRIB-2026-249EPSS 0.2%CVE-2023-23503—A logic issue was addressed with improved state management. This issue is fixed in macOS Ventura 13.2, iOS 16.3 and iPadOS 16.3, iOS 15.7.3 EPSS 0.2%CVE-2026-118554MEDIUMOpenID Connect Client - Moderately critical - Improper authentication - SA-CONTRIB-2026-287EPSS 0.2%