Fallos del tipo CWE-639

2437 resultados

Falsificação de referência direta a objeto (IDOR)

A aplicação não valida se o usuário tem permissão para acessar um recurso identificado por um parâmetro (como ID de usuário, pedido ou documento). Um atacante modifica esse parâmetro na URL ou requisição para acessar dados de outros usuários. É uma falha de autorização que confunde autenticação (saber quem você é) com controle de acesso (o que você pode ver).

Ejemplo

Um banco permite consultar extrato via URL /extrato?conta_id=12345. Um cliente autenticado muda conta_id para 12346 e acessa o extrato de outro cliente. A aplicação validou apenas se o usuário estava logado, não se tinha direito àquele extrato específico.

Cómo mitigar

Em cada requisição, verifique explicitamente se o usuário autenticado tem permissão para acessar aquele recurso específico (compare o ID solicitado com o contexto do usuário logado). Use IDs opacos/indiretos gerados pelo servidor em vez de sequências previsíveis, sempre como camada adicional, nunca como única proteção.

CVE-2021-44160HIGHCarinal Tien Hospital Health Report System - Authorization Bypass Through User-Controlled KeyEPSS 1.1%CVE-2017-0882—Multiple versions of GitLab expose sensitive user credentials when assigning a user to an issue or merge request. A fix was included in versEPSS 1.1%CVE-2021-32744CRITICALUnauthenticated attacker could gain access to currently open filesEPSS 1.1%CVE-2021-25096—IP2Location Country Blocker < 2.26.5 - Ban BypassEPSS 1.0%CVE-2021-24655—WP User Manager < 2.6.3 - Arbitrary User Password Reset to Account CompromiseEPSS 1.0%CVE-2021-37184—A vulnerability has been identified in Industrial Edge Management (All versions < V1.3). An unauthenticated attacker could change the the paEPSS 1.0%CVE-2024-37889MEDIUMMyFinances Allows Unauthorized Access to Other Customer DataEPSS 1.0%CVE-2026-8839MEDIUMMapPress Maps for WordPress <= 2.96.6 - Unauthenticated Insecure Direct Object Reference via REST API EndpointsEPSS 1.0%CVE-2023-32310HIGHDataEase API interface has IDOR vulnerabilityEPSS 1.0%CVE-2023-43668—Apache InLong: Jdbc Connection Security Bypass in InLongEPSS 1.0%CVE-2021-24739—Logo Carousel < 3.4.2 - Unauthorised Private Post AccessEPSS 1.0%CVE-2022-40186CRITICALAn issue was discovered in HashiCorp Vault and Vault Enterprise before 1.11.3. A vulnerability in the Identity Engine was found where, in a EPSS 1.0%CVE-2023-26428MEDIUMAttackers can successfully request arbitrary snippet IDs, including E-Mail signatures of other users within the same context. Signatures of EPSS 1.0%CVE-2026-54568MEDIUMMicrosoft UFO: Missing Authorization in DEVICE_INFO_REQUEST Allows a DEVICE Client to Read Another Device's system_infoEPSS 1.0%CVE-2023-46478HIGHAn issue in minCal v.1.0.0 allows a remote attacker to execute arbitrary code via a crafted script to the customer_data parameter.EPSS 1.0%CVE-2019-5466—An IDOR was discovered in GitLab CE/EE 11.5 and later that allowed new merge requests endpoint to disclose label names.EPSS 1.0%CVE-2019-15581—An IDOR exists in < 12.3.2, < 12.2.6, and < 12.1.12 for GitLab Community Edition (CE) and Enterprise Edition (EE) that allowed a project ownEPSS 1.0%CVE-2022-33944MEDIUMICSA-22-200-01 MiCODUS MV720 GPS tracker Authorization Bypass Through User-Controlled KeyEPSS 1.0%CVE-2022-29159MEDIUMPossibility for anyone to add a stack with existing tasks on anyone's board in Nextcloud DeckEPSS 1.0%CVE-2021-43820HIGHPermissions check bypass in SeafileEPSS 1.0%