Fallos del tipo CWE-306

2653 resultados

Ausência de autenticação em funcionalidade crítica

A aplicação permite acesso a operações que exigem identidade verificada ou consomem recursos significativos sem validar quem está fazendo a requisição. Isso permite que qualquer pessoa, autenticada ou não, execute ações sensíveis — desde consumir quotas até acessar dados ou disparar processos custosos.

Ejemplo

Um serviço de relatórios expõe um endpoint `/gerar-relatorio` que processa grandes volumes de dados sem verificar credenciais. Um atacante chama o endpoint repetidas vezes, sobrecarregando a infraestrutura e causando negação de serviço, enquanto qualquer usuário consegue disparar operações com alto custo computacional.

Cómo mitigar

Implemente validação de autenticação (tokens JWT, OAuth, sessões) antes de executar qualquer operação sensível ou de alto custo. Combine com rate limiting e quotas por usuário para restringir abuso mesmo após autenticação.

CVE-2026-102149CRITICALKiteworks Email Protection Gateway Improper Access ControlEPSS —CVE-2026-102110MEDIUMMissing authentication on a Kiteworks appliance setup functionEPSS —CVE-2026-103536MEDIUMZongXR Supermarket save Endpoint OrderController.java OrderController.addOrder missing authenticationEPSS —CVE-2026-103270HIGHLightLLM through 1.2.0 Missing Authentication on RL Control RoutesEPSS —CVE-2026-96577HIGHOc-mirror__release-4.21: embedded local cache registry listens on all interfaces without authentication, with delete enabledEPSS —CVE-2026-102144MEDIUMKiteworks Email Protection Gateway Uncontrolled Resource ConsumptionEPSS —CVE-2026-46711HIGHSoft Machine: Unauthenticated workspace API exposes arbitrary file read & directory exfiltration to any peer on the Fly private networkEPSS —CVE-2026-102150HIGHKiteworks Secure Data Forms Missing Authentication for Critical FunctionEPSS —CVE-2026-102124MEDIUMKiteworks Core Missing Authentication for Critical FunctionEPSS —CVE-2026-103538MEDIUMZongXR SuperMarket Order Deletion Endpoint OrderController.java OrderController.deleteOrder missing authenticationEPSS —CVE-2026-18783HIGHMissing Server-Side Authentication on REST API Endpoint in Trex Digital Manufacturing's Trex MESEPSS —CVE-2026-102121HIGHKiteworks Secure Data Forms Exposure of Sensitive Information to an Unauthorized ActorEPSS —CVE-2026-76142CRITICALGenians, Inc. Genian NAC/ZTNA Improper Access Control on the Internal InterfaceEPSS —