Fallos del tipo CWE-639

3192 resultados

Falsificação de referência direta a objeto (IDOR)

A aplicação não valida se o usuário tem permissão para acessar um recurso identificado por um parâmetro (como ID de usuário, pedido ou documento). Um atacante modifica esse parâmetro na URL ou requisição para acessar dados de outros usuários. É uma falha de autorização que confunde autenticação (saber quem você é) com controle de acesso (o que você pode ver).

Ejemplo

Um banco permite consultar extrato via URL /extrato?conta_id=12345. Um cliente autenticado muda conta_id para 12346 e acessa o extrato de outro cliente. A aplicação validou apenas se o usuário estava logado, não se tinha direito àquele extrato específico.

Cómo mitigar

Em cada requisição, verifique explicitamente se o usuário autenticado tem permissão para acessar aquele recurso específico (compare o ID solicitado com o contexto do usuário logado). Use IDs opacos/indiretos gerados pelo servidor em vez de sequências previsíveis, sempre como camada adicional, nunca como única proteção.

CVE-2024-23747HIGHThe Moderna Sistemas ModernaNet Hospital Management System 2024 is susceptible to an Insecure Direct Object Reference (IDOR) vulnerability. EPSS 0.7%CVE-2024-12880HIGHPartial Account Takeover due to Insecure Data Querying in infiniflow/ragflowEPSS 0.7%CVE-2024-10121MEDIUMwfh45678 Radar Interface authorizationEPSS 0.7%CVE-2023-32078HIGHNetmaker IDOR Vulnerability Allows User to Update Other User's PasswordEPSS 0.7%CVE-2025-34140HIGHETQ Reliance CG/NXG API Authorization Bypass via ;localized-text URI SuffixEPSS 0.7%CVE-2026-85607HIGHBlinko 1.8.7 Cross-User AI Conversation Read and Write via message tRPC RouterEPSS 0.7%CVE-2026-33425MEDIUMDiscourse has inferable private group membership or existence via exclude_groups parameterEPSS 0.7%CVE-2026-5234MEDIUMLatePoint <= 5.3.2 - Insecure Direct Object Reference to Unauthenticated Sensitive Financial Data Exposure via Sequential Invoice IDEPSS 0.7%CVE-2023-53914CRITICALUliCMS 2023.1 Authentication Bypass via Mass Assignment VulnerabilityEPSS 0.7%CVE-2026-47156CRITICALMantisBT: SOAP API Authentication Bypass with Privilege Escalation to AdministratorEPSS 0.7%CVE-2024-1075LOWMinimal Coming Soon – Coming Soon Page <= 2.37 - Unauthenticated Maintenance Mode BypassEPSS 0.7%CVE-2024-10215CRITICALWPBookit <= 1.6.4 - Unauthenticated Arbitrary User Password ChangeEPSS 0.7%CVE-2023-1462HIGHIDOR in DigikentEPSS 0.7%CVE-2023-2702HIGHIDOR in Finex Media's Competition Management SystemEPSS 0.7%CVE-2022-3794MEDIUMJeg Elementor Kit <= 2.5.6 - Authorization BypassEPSS 0.7%CVE-2026-51923HIGHAn Insecure Direct Object Reference (IDOR) vulnerability exists in docuForm GmbH Client v.11.11c allowing a remote attacker to execute arbitEPSS 0.7%CVE-2023-2883HIGHIDOR in CBOT's ChatbotEPSS 0.7%CVE-2026-84148CRITICALInsecure Direct Object Reference Vulnerability in Manacle Technologies ERP SystemEPSS 0.7%CVE-2022-44005MEDIUMAn issue was discovered in BACKCLICK Professional 5.9.63. Due to the use of consecutive IDs in verification links, the newsletter sign-up fuEPSS 0.7%CVE-2026-13358MEDIUMAppointment Booking Calendar — Simply Schedule Appointments Booking Plugin <= 1.6.12.10 - Authenticated (Contributor+) Insecure Direct Object Reference to Sensitive Information ExposureEPSS 0.7%