Fallos del tipo CWE-288

745 resultados

Controle de acesso inadequado

A aplicação falha em validar corretamente se um usuário tem permissão para executar uma ação ou acessar um recurso específico. Sem essa validação, um atacante consegue contornar restrições e executar operações que deveria estar proibido (ler dados sensíveis, modificar registros de outros usuários, acessar áreas administrativas, etc.).

Ejemplo

Um sistema bancário permite que qualquer usuário autenticado mude a senha de qualquer outra conta apenas alterando o ID de usuário na requisição, sem verificar se aquele usuário é realmente o dono da conta ou um administrador autorizado.

Cómo mitigar

Implemente verificações de autorização em toda requisição sensível: valide se o usuário logado é realmente quem deveria estar fazendo aquela ação (propriedade, role, permissão explícita). Centralize essa lógica em um componente de controle de acesso reutilizável e teste-a sistematicamente com usuários de diferentes perfis.

CVE-2026-76943CRITICALXiiaozet LK100W Authentication Bypass Using an Alternate Path or ChannelEPSS 1.0%CVE-2020-27863MEDIUMThis vulnerability allows network-adjacent attackers to disclose sensitive information on affected installations of D-Link DVA-2800 and DSL-EPSS 1.0%CVE-2024-50334HIGHSemicolon Path Injection on API /api;/configEPSS 1.0%CVE-2023-41351CRITICALChunghwa Telecom NOKIA G-040W-Q - Broken Access ControlEPSS 1.0%CVE-2026-27546CRITICALAuthentication Bypass in _account_logEPSS 1.0%CVE-2020-13185—Certain web application pages in the authenticated section of the Teradici Cloud Access Connector prior to v18 were accessible without the nEPSS 1.0%CVE-2022-24813MEDIUMAuthentication Bypass Using an Alternate Path or Channel in CreateWikiEPSS 1.0%CVE-2023-2027CRITICALZM Ajax Login & Register <= 2.0.2 - Authentication BypassEPSS 1.0%CVE-2026-2628CRITICALAll-in-One Microsoft 365 & Entra ID / Azure AD SSO Login <= 2.2.5 - Authentication BypassEPSS 1.0%CVE-2022-23767HIGHSecureGate authentication bypass vulnerabilityEPSS 1.0%CVE-2022-47578HIGHAn issue was discovered in the endpoint protection agent in Zoho ManageEngine Device Control Plus 10.1.2228.15. Despite configuring completeEPSS 1.0%CVE-2024-7781HIGHJupiter X Core <= 4.7.5 - Limited Unauthenticated Authentication Bypass to Account TakeoverEPSS 1.0%CVE-2024-9822CRITICALPedalo Connector <= 2.0.5 - Authentication Bypass to AdministratorEPSS 0.9%CVE-2024-33939MEDIUMWordPress LMS by Masteriyo plugin <= 1.7.3 - Broken Authentication vulnerabilityEPSS 0.9%CVE-2026-40022HIGHApache Camel Platform HTTP Main: Authentication Bypass on Non-Root Context Paths in camel main runtimeEPSS 0.9%CVE-2024-36042CRITICALSilverpeas before 6.3.5 allows authentication bypass by omitting the Password field to AuthenticationServlet, often providing an unauthenticEPSS 0.9%CVE-2024-2055CRITICALArtica Proxy Unauthenticated File Manager VulnerabilityEPSS 0.9%CVE-2023-41256CRITICALDover Fueling Solutions MAGLINK LX Console Authentication BypassEPSS 0.9%CVE-2023-37057CRITICALAn issue in JLINK Unionman Technology Co. Ltd Jlink AX1800 v.1.0 allows a remote attacker to execute arbitrary code via the router's authentEPSS 0.9%CVE-2024-50488HIGHWordPress Token Login plugin <= 1.0.3 - Broken Authentication vulnerabilityEPSS 0.9%