Fallos del tipo CWE-639

2443 resultados

Falsificação de referência direta a objeto (IDOR)

A aplicação não valida se o usuário tem permissão para acessar um recurso identificado por um parâmetro (como ID de usuário, pedido ou documento). Um atacante modifica esse parâmetro na URL ou requisição para acessar dados de outros usuários. É uma falha de autorização que confunde autenticação (saber quem você é) com controle de acesso (o que você pode ver).

Ejemplo

Um banco permite consultar extrato via URL /extrato?conta_id=12345. Um cliente autenticado muda conta_id para 12346 e acessa o extrato de outro cliente. A aplicação validou apenas se o usuário estava logado, não se tinha direito àquele extrato específico.

Cómo mitigar

Em cada requisição, verifique explicitamente se o usuário autenticado tem permissão para acessar aquele recurso específico (compare o ID solicitado com o contexto do usuário logado). Use IDs opacos/indiretos gerados pelo servidor em vez de sequências previsíveis, sempre como camada adicional, nunca como única proteção.

CVE-2025-40805CRITICALAffected devices do not properly enforce user authentication on specific API endpoints. This could facilitate an unauthenticated remote attaEPSS 0.7%CVE-2024-23112HIGHAn authorization bypass through user-controlled key vulnerability [CWE-639] in FortiOS version 7.4.0 through 7.4.1, 7.2.0 through 7.2.6, 7.0EPSS 0.7%CVE-2023-2190MEDIUMAuthorization Bypass Through User-Controlled Key in GitLabEPSS 0.7%CVE-2024-4537HIGHIDOR vulnerability in Janto Ticketing SoftwareEPSS 0.7%CVE-2023-0693MEDIUMMetform Elementor Contact Form Builder <= 3.3.1 - Authenticated (Subscriber+) Information Disclosure via 'mf_transaction_id' shortcodeEPSS 0.7%CVE-2023-0694MEDIUMMetform Elementor Contact Form Builder <= 3.3.1 - Authenticated (Subscriber+) Information Disclosure via mf shortcodeEPSS 0.7%CVE-2023-51141MEDIUMAn issue in ZKTeko BioTime v.8.5.4 and before allows a remote attacker to obtain sensitive information via the Authentication & AuthorizatioEPSS 0.7%CVE-2022-43492MEDIUMWordPress Comments – wpDiscuz plugin 7.4.2 - Auth. Insecure Direct Object References (IDOR) vulnerabilityEPSS 0.7%CVE-2026-59235HIGHMissing authorization in Prospero Flow CRM allows low-privileged users to read all bank accountsEPSS 0.7%CVE-2023-36235MEDIUMAn issue in webkul qloapps before v1.6.0 allows an attacker to obtain sensitive information via the id_order parameter.EPSS 0.7%CVE-2022-0442—UsersWP < 1.2.3.1 - Subscriber+ User Avatar OverrideEPSS 0.7%CVE-2021-24800—DW Question & Answer Pro <= 1.3.4 - Arbitrary Comment Edition via IDOREPSS 0.7%CVE-2022-44005MEDIUMAn issue was discovered in BACKCLICK Professional 5.9.63. Due to the use of consecutive IDs in verification links, the newsletter sign-up fuEPSS 0.7%CVE-2022-43450MEDIUMWordPress Stream Plugin <= 3.9.2 is vulnerable to Insecure Direct Object References (IDOR)EPSS 0.7%CVE-2023-25403HIGHCleverStupidDog yf-exam v 1.8.0 is vulnerable to Authentication Bypass. The program uses a fixed JWT key, and the stored key uses username fEPSS 0.7%CVE-2023-1417MEDIUMAn issue has been discovered in GitLab affecting all versions starting from 15.9 before 15.9.4, all versions starting from 15.10 before 15.1EPSS 0.7%CVE-2023-6724HIGHIDOR in Simgesel Software's Hearing Tracking System (Barosel)EPSS 0.7%CVE-2025-34140HIGHETQ Reliance CG/NXG API Authorization Bypass via ;localized-text URI SuffixEPSS 0.6%CVE-2023-37871HIGHWordPress WooCommerce GoCardless Gateway Plugin <= 2.5.6 is vulnerable to Insecure Direct Object References (IDOR)EPSS 0.6%CVE-2024-1313MEDIUMUsers outside an organization can delete a snapshot with its keyEPSS 0.6%