Fallos del tipo CWE-639

2437 resultados

Falsificação de referência direta a objeto (IDOR)

A aplicação não valida se o usuário tem permissão para acessar um recurso identificado por um parâmetro (como ID de usuário, pedido ou documento). Um atacante modifica esse parâmetro na URL ou requisição para acessar dados de outros usuários. É uma falha de autorização que confunde autenticação (saber quem você é) com controle de acesso (o que você pode ver).

Ejemplo

Um banco permite consultar extrato via URL /extrato?conta_id=12345. Um cliente autenticado muda conta_id para 12346 e acessa o extrato de outro cliente. A aplicação validou apenas se o usuário estava logado, não se tinha direito àquele extrato específico.

Cómo mitigar

Em cada requisição, verifique explicitamente se o usuário autenticado tem permissão para acessar aquele recurso específico (compare o ID solicitado com o contexto do usuário logado). Use IDs opacos/indiretos gerados pelo servidor em vez de sequências previsíveis, sempre como camada adicional, nunca como única proteção.

CVE-2021-37631MEDIUMCircle can be accessed by non-Circle members in Nextcloud DeckEPSS 1.3%CVE-2023-34000HIGHWordPress WooCommerce Stripe Payment Gateway Plugin <= 7.4.0 is vulnerable to Insecure Direct Object References (IDOR)EPSS 1.2%CVE-2021-41305HIGHAffected versions of Atlassian Jira Server and Data Center allow anonymous remote attackers to view the names of private projects and filterEPSS 1.2%CVE-2021-37630MEDIUMSecret Circle can be joined without approval in Nextcloud CirclesEPSS 1.2%CVE-2023-0865—WooCommerce Multiple Customer Addresses & Shipping < 21.7 - Arbitrary Address Creation/Deletion/Access/Update via IDOREPSS 1.2%CVE-2022-41479HIGHThe DevExpress Resource Handler (ASPxHttpHandlerModule) in DevExpress ASP.NET Web Forms Build v19.2.3 does not verify the referenced objectsEPSS 1.2%CVE-2026-47101HIGHLiteLLM < 1.83.14 Privilege Escalation via API Key GenerationEPSS 1.2%CVE-2022-1614—WP-Email < 2.69.0 - Anti-Spam Protection Bypass via IP SpoofingEPSS 1.2%CVE-2021-24840—Squaretype Modern Blog < 3.0.4 - Unauthenticated Private/Schedule Posts DisclosureEPSS 1.2%CVE-2023-49298HIGHOpenZFS through 2.1.13 and 2.2.x through 2.2.1, in certain scenarios involving applications that try to rely on efficient copying of file daEPSS 1.2%CVE-2022-2367—WSM Downloader <= 1.4.0 - Domain Name Restriction BypassEPSS 1.2%CVE-2021-22967—In Concrete CMS (formerly concrete 5) below 8.5.7, IDOR Allows Unauthenticated User to Access Restricted Files If Allowed to Add Message to EPSS 1.1%CVE-2024-9263CRITICALWP Timetics- AI-powered Appointment Booking Calendar and Online Scheduling Plugin <= 1.0.25 - Insecure Direct Object Reference to Unauthenticated Arbitrary User Password/Email Reset/Account TakeoverEPSS 1.1%CVE-2022-23061MEDIUMShopizer - IDOR delete superadminEPSS 1.1%CVE-2021-22951—Unauthorized individuals could view password protected files using view_inline in Concrete CMS (previously concrete 5) prior to version 8.5.EPSS 1.1%CVE-2023-2276CRITICALWCFM Membership – WooCommerce Memberships for Multivendor Marketplace <= 2.10.7 - Unauthenticated Insecure Direct Object Reference to Arbitrary User Password ChangeEPSS 1.1%CVE-2022-0266MEDIUMAuthorization Bypass Through User-Controlled Key in livehelperchat/livehelperchatEPSS 1.1%CVE-2023-24625MEDIUMFaveo 5.0.1 allows remote attackers to obtain sensitive information via a modified user ID in an Insecure Direct Object Reference (IDOR) attEPSS 1.1%CVE-2023-6317HIGHPIN/prompt bypass on the secondscreen.gateway service allows access to the SSAP API without user interactionEPSS 1.1%CVE-2021-36801HIGHAkaunting Authentication Bypass in Company SelectionEPSS 1.1%