Fallos del tipo CWE-863

3850 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2026-72831HIGHGrav through 2.0.11 Authentication Bypass via Flex ObjectsEPSS 0.9%CVE-2023-27486HIGHInsufficient authorization validation between zones when xCAT zones are enabledEPSS 0.9%CVE-2022-43438HIGHHWA JIUH DIGITAL TECHNOLOGY LTD. EasyTest - Incorrect AuthorizationEPSS 0.9%CVE-2025-21519MEDIUMVulnerability in the MySQL Server product of Oracle MySQL (component: Server: Security: Privileges). Supported versions that are affected aEPSS 0.9%CVE-2021-24770—Stylish Price List < 6.9.1 - Subscriber+ Arbitrary Image UploadEPSS 0.9%CVE-2021-41241MEDIUMAdvanced permissions is not respected for subfolders in Nextcloud serverEPSS 0.9%CVE-2026-41432HIGHNew API: Stripe Webhook Signature Bypass via Empty Secret Enables Unlimited Quota FraudEPSS 0.9%CVE-2023-28698CRITICALWADE DIGITAL DESIGN CO, LTD. FANTSY - Broken Acesss ControlEPSS 0.8%CVE-2022-24841MEDIUMImproper Authorization in github.com/fleetdm/fleetEPSS 0.8%CVE-2018-20826—The inline-create rest resource in Jira before version 7.12.3 allows authenticated remote attackers to set the reporter in issues via a missEPSS 0.8%CVE-2024-34106MEDIUMInsecure Direct Object Reference - An attacker can able to erase the victim quote detailsEPSS 0.8%CVE-2026-77111HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.8%CVE-2026-33579CRITICALOpenClaw < 2026.3.28 - Privilege Escalation via Missing Caller Scope Validation in Device Pair ApprovalEPSS 0.8%CVE-2023-49982HIGHBroken access control in the component /admin/management/users of School Fees Management System v1.0 allows attackers to escalate privilegesEPSS 0.8%CVE-2026-47303HIGHASP.NET Core Elevation of Privilege VulnerabilityEPSS 0.8%CVE-2026-43945HIGHFUXA Vulnerable to Pre-auth RCE via Path Manipulation & Configuration InjectionEPSS 0.8%CVE-2023-27107HIGHIncorrect access control in the runReport function of MyQ Solution Print Server before 8.2 Patch 32 and Central Server before 8.2 Patch 22 aEPSS 0.8%CVE-2025-48757CRITICALAn insufficient database Row-Level Security policy in Lovable through 2025-04-15 allows remote unauthenticated attackers to read or write toEPSS 0.8%CVE-2021-24279—Redirection for Contact Form 7 < 2.3.4 - Authenticated Arbitrary Plugin InstallationEPSS 0.8%CVE-2026-74036HIGHWazuh 4.3.0 before 4.14.8 Remote Code Execution via SCA Command PoliciesEPSS 0.8%