Fallos del tipo CWE-863

3853 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2022-23551MEDIUMAAD Pod Identity obtaining token with backslashEPSS 0.8%CVE-2026-63443HIGHCoder: Workspace agent API insecure redirect handling allowed cross-agent file read and writeEPSS 0.8%CVE-2022-45891CRITICALPlanet eStream before 6.72.10.07 allows attackers to call restricted functions, and perform unauthenticated uploads (Upload2.ashx) or accessEPSS 0.8%CVE-2024-37905HIGHImproper Access Control and Incorrect Authorization in github.com/goauthentik/authentikEPSS 0.8%CVE-2026-47988HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.8%CVE-2021-36778HIGHExposure of repository credentials to external third-party sourcesEPSS 0.8%CVE-2024-6914CRITICALIncorrect Authorization in Multiple WSO2 Products via Account Recovery SOAP Admin Service Leading to Account TakeoverEPSS 0.8%CVE-2020-28397—A vulnerability has been identified in SIMATIC Drive Controller family (All versions < V2.9.2), SIMATIC ET 200SP Open Controller CPU 1515SP EPSS 0.8%CVE-2024-8001MEDIUMVIWIS LMS Print authorizationEPSS 0.8%CVE-2026-63414HIGHShopify App: Token exchange shop context confusion may allow cross-shop authorization bypass in affected appsEPSS 0.7%CVE-2020-25167MEDIUMOSIsoft PI Vision Incorrect AuthorizationEPSS 0.7%CVE-2026-115732CRITICALCertificate Name Authorization BypassEPSS 0.7%CVE-2024-36265CRITICALApache Submarine Server Core: authorization bypassEPSS 0.7%CVE-2026-86274MEDIUMprojeto-siga Authentication Flow ExAutenticacaoController.java ExAutenticacaoController.autenticar authorizationEPSS 0.7%CVE-2021-1143MEDIUMCisco Connected Mobile Experiences User Enumeration VulnerabilityEPSS 0.7%CVE-2024-7096MEDIUMPrivilege Escalation in Multiple WSO2 Products via SOAP Admin Service Due to Business Logic FlawEPSS 0.7%CVE-2024-22208MEDIUMphpMyFAQ sharing FAQ functionality can easily be abused for phishing purposesEPSS 0.7%CVE-2026-28790HIGHOliveTin: Unauthenticated Action Termination via KillAction When Guests Must LoginEPSS 0.7%CVE-2024-35187CRITICALStalwart Mail Server has privilege escalation by designEPSS 0.7%CVE-2024-21010CRITICALVulnerability in the Oracle Hospitality Simphony product of Oracle Food and Beverage Applications (component: Simphony Enterprise Server). EPSS 0.7%