Fallos del tipo CWE-425

137 resultados

Falta de validação de autorização em URLs, scripts ou arquivos restritos

A aplicação web não verifica adequadamente se o usuário tem permissão para acessar determinadas URLs, scripts ou arquivos antes de conceder o acesso. Um atacante consegue burlar os controles de autorização e acessar recursos que deveriam estar protegidos, como páginas administrativas, arquivos de configuração ou funcionalidades restritas.

Ejemplo

Um sistema bancário permite acesso à página de transferências via URL direta (/admin/transferir) apenas verificando se o usuário está logado, mas não confere se ele é administrador. Um usuário comum descobre a URL e transfere dinheiro sem autorização.

Cómo mitigar

Implemente verificação de autorização explícita em cada endpoint ou recurso restrito, não apenas autenticação. Use um padrão como controle de acesso baseado em papéis (RBAC) ou atributos (ABAC), centralizando a lógica de permissões e testando-a sistematicamente para todas as rotas sensíveis.

CVE-2026-34051MEDIUMOpenEMR has Improper ACL On Import/Export PopupEPSS 0.2%CVE-2025-62778LOWFrappe Learning allowed students to access the Quiz Form via direct URLEPSS 0.2%CVE-2026-8205MEDIUMConcrete CMS 9.5.0 and below is vulnerable to authorization bypass in Calendar Block since action_get_events does not check canView on the calendarEPSS 0.2%CVE-2026-21760MEDIUMUnauthorized Access to Admin Functionality via Forced BrowsingEPSS 0.2%CVE-2026-32867MEDIUMOPEXUS eComplaint unauthenticated file uploadEPSS 0.2%CVE-2026-102584MEDIUMMoodle: missing capability check allows unauthorised grade penalty recalculationEPSS 0.2%CVE-2026-102582LOWMoodle: manual enrolment page accessible when plugin disabledEPSS 0.2%CVE-2025-65011HIGHUnauthorized Access to files in WODESYS WD-R608U routerEPSS 0.2%CVE-2026-100168—Apache OFBiz: Missing Authorization vulnerabilityEPSS 0.2%CVE-2026-114235—Apache OFBiz: Direct Request in Order Manager Enables Unauthorized Tracking Number ModificationEPSS 0.2%CVE-2026-109856—Apache OFBiz: Missing Authorization in Financial Account Services Enables Unauthorized Balance ManipulationEPSS 0.2%CVE-2025-15587HIGHCredentials exposure in tinycontrol devicesEPSS 0.2%CVE-2024-58343MEDIUMVision Helpdesk before 5.7.0 (patched in 5.6.10) allows attackers to read user profiles via modified serialized cookie data to vis_client_idEPSS 0.2%CVE-2026-105046MEDIUMKentico Xperience 13 before 13.0.216 lacks object-level authorization checks for administration API endpoints.EPSS 0.2%CVE-2026-105461—Apache OFBiz: Missing authorization in updateOrderItems allows view-only users to modify order prices and quantitiesEPSS 0.1%CVE-2026-105325—Apache OFBiz: Missing authorization in payment application services allows view-only users to modify payment allocationsEPSS 0.1%CVE-2025-31971MEDIUMAIML Solutions for HCL SX is susceptible to a URL validation vulnerabilityEPSS 0.1%