Fallos del tipo CWE-639

3192 resultados

Falsificação de referência direta a objeto (IDOR)

A aplicação não valida se o usuário tem permissão para acessar um recurso identificado por um parâmetro (como ID de usuário, pedido ou documento). Um atacante modifica esse parâmetro na URL ou requisição para acessar dados de outros usuários. É uma falha de autorização que confunde autenticação (saber quem você é) com controle de acesso (o que você pode ver).

Ejemplo

Um banco permite consultar extrato via URL /extrato?conta_id=12345. Um cliente autenticado muda conta_id para 12346 e acessa o extrato de outro cliente. A aplicação validou apenas se o usuário estava logado, não se tinha direito àquele extrato específico.

Cómo mitigar

Em cada requisição, verifique explicitamente se o usuário autenticado tem permissão para acessar aquele recurso específico (compare o ID solicitado com o contexto do usuário logado). Use IDs opacos/indiretos gerados pelo servidor em vez de sequências previsíveis, sempre como camada adicional, nunca como única proteção.

CVE-2026-13450MEDIUMGamiPress <= 7.9.4 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Disclosure via 'access' ParameterEPSS 0.7%CVE-2026-1992HIGHExactMetrics 8.6.0 - 9.0.2 - Authenticated (Custom) Insecure Direct Object Reference to Arbitrary Plugin InstallationEPSS 0.7%CVE-2023-2548MEDIUMRegistrationMagic <= 5.2.0.5 - Authenticated (Admin+) Insecure Direct Object Reference to Arbitrary User Password ChangeEPSS 0.7%CVE-2023-44205LOWSensitive information disclosure due to improper authorization. The following products are affected: Acronis Cyber Protect 15 (Linux, WindowEPSS 0.7%CVE-2022-45175MEDIUMAn issue was discovered in LIVEBOX Collaboration vDesk through v018. An Insecure Direct Object Reference can occur under the 5.6.5-3/doc/{IDEPSS 0.7%CVE-2022-34150HIGHICSA-22-200-01 MiCODUS MV720 GPS tracker Authorization Bypass Through User-Controlled KeyEPSS 0.7%CVE-2022-29434MEDIUMWordPress Spiffy Calendar plugin <= 4.9.0 - Edit/Delete event via IDOR vulnerabilityEPSS 0.7%CVE-2023-0882HIGHAuthorization Bypass Through User-Controlled Key on Single ConnectEPSS 0.7%CVE-2026-72876CRITICALDokploy: Cross-organization IDOR leads to root RCE on another tenant's server via swarm.*EPSS 0.7%CVE-2024-9097LOWIDOREPSS 0.7%CVE-2024-55506HIGHAn IDOR vulnerability in CodeAstro's Complaint Management System v1.0 (version with 0 updates) enables an attacker to execute arbitrary codeEPSS 0.7%CVE-2025-4796HIGHEventin <= 4.0.34 - Authenticated (Contributor+) Privilege Escalation via User Email Change/Account TakeoverEPSS 0.7%CVE-2024-29194HIGHOneUptime Vulnerable to a Privilege Escalation via Local Storage Key ManipulationEPSS 0.7%CVE-2023-28109MEDIUMPlay With Docker vulnerable to Authorization Bypass Through User-Controlled KeyEPSS 0.7%CVE-2024-48217HIGHAn Insecure Direct Object Reference (IDOR) in the dashboard of SiSMART v7.4.0 allows attackers to execute a horizontal-privilege escalation.EPSS 0.7%CVE-2026-75517MEDIUMNovu: Cross-Environment Integration Manipulation (IDOR)EPSS 0.7%CVE-2022-2808HIGHIDOR in Prens Student Information SystemEPSS 0.7%CVE-2023-28686MEDIUMDino before 0.2.3, 0.3.x before 0.3.2, and 0.4.x before 0.4.2 allows attackers to modify the personal bookmark store via a crafted message. EPSS 0.7%CVE-2021-36329MEDIUMDell EMC Streaming Data Platform versions before 1.3 contain an Indirect Object Reference Vulnerability. A remote malicious user may potentiEPSS 0.7%CVE-2024-39223CRITICALAn authentication bypass in the SSH service of gost v2.11.5 allows attackers to intercept communications via setting the HostKeyCallback funEPSS 0.7%