Fallos del tipo CWE-863

3811 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2022-39214CRITICALAuthenticated users of Combodo iTop can take over any accountEPSS 25.6%CVE-2022-32532—Authentication Bypass VulnerabilityEPSS 25.5%CVE-2025-43561CRITICALColdFusion | Incorrect Authorization (CWE-863)EPSS 23.9%CVE-2020-12503HIGHPepperl+Fuchs improper authorization affects multiple Comtrol RocketLinx productsEPSS 22.8%CVE-2021-3560HIGHIt was found that polkit could be tricked into bypassing the credential checks for D-Bus requests, elevating the privileges of the requestorEPSS 22.2%KEVCVE-2022-47874MEDIUMImproper Access Control in /tc/rpc in Jedox GmbH Jedox 2020.2.5 allows remote authenticated users to view details of database connections viEPSS 21.1%CVE-2022-1401MEDIUMInsufficient validation of provided paths in Exago WrImageResource.axdEPSS 19.4%CVE-2025-43565HIGHColdFusion | Incorrect Authorization (CWE-863)EPSS 18.4%CVE-2019-8446—The /rest/issueNav/1/issueTable resource in Jira before version 8.3.2 allows remote attackers to enumerate usernames via an incorrect authorEPSS 17.5%CVE-2025-24434CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 17.2%CVE-2025-43564CRITICALColdFusion | Incorrect Authorization (CWE-863)EPSS 16.8%CVE-2021-30533MEDIUMInsufficient policy enforcement in PopupBlocker in Google Chrome prior to 91.0.4472.77 allowed a remote attacker to bypass navigation restriEPSS 16.7%KEVCVE-2024-41110CRITICALMoby authz zero length regressionEPSS 16.5%CVE-2020-14321—In Moodle before 3.9.1, 3.8.4, 3.7.7 and 3.5.13, teachers of a course were able to assign themselves the manager role within that course.EPSS 16.0%CVE-2023-2640HIGHOn Ubuntu kernels carrying both c914c0e27eb0 and "UBUNTU: SAUCE: overlayfs: Skip permission checking for trusted.overlayfs.* xattrs", an unpEPSS 15.2%CVE-2021-21389HIGHBuddyPress privilege escalation via REST APIEPSS 14.8%CVE-2023-29708—An issue was discovered in /cgi-bin/adm.cgi in WavLink WavRouter version RPT70HA1.x, allows attackers to force a factory reset via crafted pEPSS 14.2%CVE-2023-32749HIGHPydio Cells allows users by default to create so-called external users in order to share files with them. By modifying the HTTP request sentEPSS 14.1%CVE-2019-3401—The ManageFilters.jspa resource in Jira before version 7.13.3 and from version 8.0.0 before version 8.1.1 allows remote attackers to enumeraEPSS 13.6%CVE-2025-55177MEDIUMIncomplete authorization of linked device synchronization messages in WhatsApp for iOS prior to v2.25.21.73, WhatsApp Business for iOS v2.25EPSS 13.5%KEV