Fallos del tipo CWE-863

3853 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2023-36829MEDIUMSentry CORS misconfiguration vulnerabilityEPSS 0.7%CVE-2021-24281—Redirection for Contact Form 7 < 2.3.4 - Authenticated Arbitrary Post DeletionEPSS 0.7%CVE-2026-73499HIGHetcd: Watch API authorization bypass via open-ended range requestsEPSS 0.7%CVE-2025-49556HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.7%CVE-2022-22157HIGHJunos OS: SRX Series: Traffic classification vulnerability when 'no-syn-check' is enabledEPSS 0.7%CVE-2024-13258CRITICALDrupal REST & JSON API Authentication - Moderately critical - Access bypass - SA-CONTRIB-2024-022EPSS 0.7%CVE-2023-0952MEDIUMImproper access controls on entries in Devolutions Server 2022.3.12 and earlier could allow an authenticated user to access sensitive dataEPSS 0.7%CVE-2024-7097MEDIUMIncorrect Authorization in Multiple WSO2 Products via SOAP Admin Service Allowing Unauthorized User SignupEPSS 0.7%CVE-2023-32353—A logic issue was addressed with improved checks. This issue is fixed in iTunes 12.12.9 for Windows. An app may be able to elevate privilegeEPSS 0.7%CVE-2021-34648MEDIUMNinja Forms <= 3.5.7 Unprotected REST-API to Email InjectionEPSS 0.7%CVE-2024-31452HIGHOpenFGA Authorization BypassEPSS 0.7%CVE-2025-3963MEDIUMwithstars Books-Management-System Background Interface list authorizationEPSS 0.7%CVE-2024-44765MEDIUMAn Improper Authorization (Access Control Misconfiguration) vulnerability in MGT-COMMERCE GmbH CloudPanel v2.0.0 to v2.4.2 allows low-privilEPSS 0.7%CVE-2025-3960MEDIUMwithstars Books-Management-System Background Interface allreaders.html authorizationEPSS 0.7%CVE-2021-20306—A flaw was found in the BPMN editor in version jBPM 7.51.0.Final. Any authenticated user from any project can see the name of Ruleflow GroupEPSS 0.7%CVE-2026-47102HIGHLiteLLM < 1.83.10 Privilege Escalation via User UpdateEPSS 0.7%CVE-2026-65182CRITICALApache Tomcat: Bypass longest prefix security constraintEPSS 0.7%CVE-2022-0762MEDIUMIncorrect Authorization in microweber/microweberEPSS 0.7%CVE-2025-27427LOWApache ActiveMQ Artemis: Address routing-type can be updated by user without the createAddress permissionEPSS 0.7%CVE-2024-1479MEDIUMWP Show Posts <= 1.1.4 - Information ExposureEPSS 0.7%