Fallos del tipo CWE-863

3850 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2020-3467HIGHCisco Identity Services Engine Authorization Bypass VulnerabilityEPSS 0.9%CVE-2026-57200HIGHAsterisk: ARI REST-over-WebSocket read-only bypass allows arbitrary module path load and conditional RCEEPSS 0.9%CVE-2022-46792HIGHHasura GraphQL Engine before 2.15.2 mishandles row-level authorization in the Update Many API for Postgres backends. The fixed versions are EPSS 0.9%CVE-2022-27642MEDIUMThis vulnerability allows network-adjacent attackers to bypass authentication on affected installations of NETGEAR R6700v3 1.0.4.120_10.0.91EPSS 0.9%CVE-2026-102865MEDIUMMicrosoft Office SharePoint Information Disclosure VulnerabilityEPSS 0.9%CVE-2026-47996MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.9%CVE-2021-23203HIGHImproper access control in reporting engine of Odoo Community 14.0 through 15.0, and Odoo Enterprise 14.0 through 15.0, allows remote attackEPSS 0.9%CVE-2023-40309CRITICALMissing Authorization check in SAP CommonCryptoLibEPSS 0.9%CVE-2023-22500HIGHglpi Unauthorized access to inventory filesEPSS 0.9%CVE-2024-26016MEDIUMApache Superset: Improper authorization validation on dashboards and charts importEPSS 0.9%CVE-2025-24221HIGHThis issue was addressed with improved data access restriction. This issue is fixed in iOS 18.4 and iPadOS 18.4, iPadOS 17.7.6, visionOS 2.4EPSS 0.9%CVE-2026-77910HIGHMicrosoft Exchange Server Elevation of Privilege VulnerabilityEPSS 0.9%CVE-2024-39352MEDIUMA vulnerability regarding incorrect authorization is found in the firmware upgrade functionality. This allows remote authenticated users witEPSS 0.9%CVE-2026-70246HIGHMicrosoft Office SharePoint Elevation of Privilege VulnerabilityEPSS 0.9%CVE-2022-35692MEDIUMAdobe Commerce Improper Access Control Security feature bypassEPSS 0.9%CVE-2021-41230MEDIUMOIDC claims not updated from Identity Provider in PomeriumEPSS 0.9%CVE-2026-48449CRITICALAdobe Campaign Classic (ACC) | Incorrect Authorization (CWE-863)EPSS 0.9%CVE-2022-36009MEDIUMIncorrect parsing of access level in gomatrixserverlib and dendriteEPSS 0.9%CVE-2021-24742—Logo Slider and Showcase < 1.3.37 - Editor Plugin's Settings UpdateEPSS 0.9%CVE-2022-45956MEDIUMBoa Web Server versions 0.94.13 through 0.94.14 fail to validate the correct security constraint on the HEAD HTTP method allowing everyone tEPSS 0.9%