Fallos del tipo CWE-288

736 resultados

Controle de acesso inadequado

A aplicação falha em validar corretamente se um usuário tem permissão para executar uma ação ou acessar um recurso específico. Sem essa validação, um atacante consegue contornar restrições e executar operações que deveria estar proibido (ler dados sensíveis, modificar registros de outros usuários, acessar áreas administrativas, etc.).

Ejemplo

Um sistema bancário permite que qualquer usuário autenticado mude a senha de qualquer outra conta apenas alterando o ID de usuário na requisição, sem verificar se aquele usuário é realmente o dono da conta ou um administrador autorizado.

Cómo mitigar

Implemente verificações de autorização em toda requisição sensível: valide se o usuário logado é realmente quem deveria estar fazendo aquela ação (propriedade, role, permissão explícita). Centralize essa lógica em um componente de controle de acesso reutilizável e teste-a sistematicamente com usuários de diferentes perfis.

CVE-2024-10245CRITICALRelais 2FA <= 1.0 - Authentication BypassEPSS 1.2%CVE-2023-3162CRITICALStripe Payment Plugin for WooCommerce <= 3.7.7 - Authentication BypassEPSS 1.2%CVE-2023-22495CRITICALIzanami is vulnerable to Authorization BypassEPSS 1.2%CVE-2026-77799HIGHTwo-factor authentication bypassEPSS 1.2%CVE-2023-2781HIGHUser Email Verification for WooCommerce <= 3.5.0 - Authentication BypassEPSS 1.2%CVE-2021-41292CRITICALECOA BAS controller - Broken AuthenticationEPSS 1.2%CVE-2021-34977HIGHThis vulnerability allows network-adjacent attackers to bypass authentication on affected installations of NETGEAR R7000 1.0.11.116_10.2.100EPSS 1.1%CVE-2021-43935HIGHICSMA-21-343-01 Hillrom Welch Allyn Cardio ProductsEPSS 1.1%CVE-2025-2492CRITICALAn improper authentication control vulnerability exists in AiCloud. This vulnerability can be triggered by a crafted request, potentially leEPSS 1.1%CVE-2022-27510CRITICALUnauthorized access to Gateway user capabilities EPSS 1.1%CVE-2021-32986CRITICALAutomation Direct CLICK PLC CPU Modules Authentication Bypass Using an Alternate Path or ChannelEPSS 1.1%CVE-2021-32980CRITICALAutomation Direct CLICK PLC CPU Modules Authentication Bypass Using an Alternate Path or ChannelEPSS 1.1%CVE-2021-32984CRITICALAutomation Direct CLICK PLC CPU Modules Authentication Bypass Using an Alternate Path or ChannelEPSS 1.1%CVE-2024-9988CRITICALCrypto <= 2.19 - Authentication Bypass via registerEPSS 1.1%CVE-2023-43045MEDIUMIBM Sterling Partner Engagement Manager security bypassEPSS 1.1%CVE-2023-3249CRITICALWeb3 – Crypto wallet Login & NFT token gating <= 2.6.0 - Authentication BypassEPSS 1.1%CVE-2024-2973CRITICALSession Smart Router(SSR): On redundant router deployments API authentication can be bypassedEPSS 1.1%CVE-2024-9890HIGHUser Toolkit <= 1.2.3 - Authenticated (Subscriber+) Authentication BypassEPSS 1.1%CVE-2021-27453HIGHMesa Labs AmegaView authentication bypassEPSS 1.0%CVE-2026-76943CRITICALXiiaozet LK100W Authentication Bypass Using an Alternate Path or ChannelEPSS 1.0%