Fallos del tipo CWE-288

747 resultados

Controle de acesso inadequado

A aplicação falha em validar corretamente se um usuário tem permissão para executar uma ação ou acessar um recurso específico. Sem essa validação, um atacante consegue contornar restrições e executar operações que deveria estar proibido (ler dados sensíveis, modificar registros de outros usuários, acessar áreas administrativas, etc.).

Ejemplo

Um sistema bancário permite que qualquer usuário autenticado mude a senha de qualquer outra conta apenas alterando o ID de usuário na requisição, sem verificar se aquele usuário é realmente o dono da conta ou um administrador autorizado.

Cómo mitigar

Implemente verificações de autorização em toda requisição sensível: valide se o usuário logado é realmente quem deveria estar fazendo aquela ação (propriedade, role, permissão explícita). Centralize essa lógica em um componente de controle de acesso reutilizável e teste-a sistematicamente com usuários de diferentes perfis.

CVE-2024-25036MEDIUMIBM Cognos Controller authentication bypassEPSS 0.2%CVE-2026-36175MEDIUMAn issue in the U-Boot component of GNCC GP5 v7.1.76 allows physically-proximate attackers to bypass authentication and gain root access viaEPSS 0.2%CVE-2022-42277HIGHNVIDIA DGX Station contains a vulnerability in SBIOS in the SmiFlash, where a local user with elevated privileges can read, write and erase EPSS 0.2%CVE-2022-42276HIGHNVIDIA DGX A100 contains a vulnerability in SBIOS in the SmiFlash, where a local user with elevated privileges can read, write and erase flaEPSS 0.2%CVE-2026-107261MEDIUMAuthenticator Login Plus (2FA) - Moderately critical - Improper authentication - SA-CONTRIB-2026-201EPSS 0.2%CVE-2025-68708LOWSailingLab AppLock (aka com.alpha.applock) 4.3.8 for Android allows a local attacker with physical access to bypass the PIN lock. The lock iEPSS 0.2%CVE-2026-114635HIGHTraefik before v2.11.58 and v3.7.14 SNI Check Bypass via HTTP/2 SchemeEPSS 0.2%CVE-2022-40725HIGHPingID Desktop PIN attempt lockout bypass.EPSS 0.2%CVE-2025-68711LOWAppLockZ App Lock and Fingerprint Lock (applock.passwordfingerprint.applockz) 4.2.11 for Android allows a local attacker with physical accesEPSS 0.2%CVE-2026-94585HIGHAn authentication bypass vulnerability exists in the web management interface of Brocade Fabric OS versions before 9.2.2d running on the MXGEPSS 0.2%CVE-2026-3930MEDIUMUnsafe navigation in Navigation in Google Chrome on iOS prior to 146.0.7680.71 allowed a remote attacker to bypass navigation restrictions vEPSS 0.2%CVE-2026-106602MEDIUMWordPress Jetpack plugin <= 16.2 - Broken Authentication vulnerabilityEPSS 0.2%CVE-2026-106601MEDIUMWordPress Jetpack plugin <= 16.2 - Broken Authentication vulnerabilityEPSS 0.2%CVE-2026-118572MEDIUMOAuth Login - OAuth OIDC SSO - Critical - Authentication bypass - SA-CONTRIB-2026-284EPSS 0.2%CVE-2025-68710LOWEasyelife App lock (aka Fingerprint,Applock or locker.app.safe.applocker) 1.9.2 for Android allows a local attacker with physical access to EPSS 0.2%CVE-2026-100261MEDIUMIn JetBrains YouTrack before 2026.2.18991 changing article visibility settings was possible without update permissionEPSS 0.2%CVE-2026-88828MEDIUMBlacklist Manager for WooCommerce 1.3.0 - 2.3.1 - Blocked User Restriction Bypass via XML-RPC and Application PasswordsEPSS 0.2%CVE-2024-41173HIGHBeckhoff: Local authentication bypass in the IPC-Diagnostics package included in TwinCAT/BSDEPSS 0.2%CVE-2025-40581HIGHA vulnerability has been identified in SCALANCE LPE9403 (6GK5998-3GS00-2AC2) (All versions < V2.1 HF0 with SINEMA Remote Connect Edge ClientEPSS 0.2%CVE-2026-33272MEDIUMRed Lion Controls N-Tron 700 Series Authentication Bypass Using an Alternate Path or ChannelEPSS 0.1%