Fallos del tipo CWE-863

3854 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2023-20877HIGHVMware Aria Operations contains a privilege escalation vulnerability. An authenticated malicious user with ReadOnly privileges can perform cEPSS 0.7%CVE-2026-114623MEDIUMbaserCMS: Path traversal in the BcThemeFile admin screen allows file disclosureEPSS 0.7%CVE-2024-9159MEDIUMIncorrect Authorization in gaizhenbiao/chuanhuchatgptEPSS 0.7%CVE-2023-46992HIGHTOTOLINK A3300R V17.0.0cu.557_B20221024 is vulnerable to Incorrect Access Control. Attackers are able to reset serveral critical passwords wEPSS 0.7%CVE-2026-23837CRITICALMyTube has an Authorization Bypass vulnerabilityEPSS 0.7%CVE-2025-54888HIGH@fedify/fedify: Improper Authentication and Incorrect AuthorizationEPSS 0.6%CVE-2023-29296MEDIUM[Cloud] Customer suspects IDOR vulnerabilityEPSS 0.6%CVE-2023-29295MEDIUMInsecure Direct Object Reference (IDOR) in Create Quote FunctionEPSS 0.6%CVE-2023-29288MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2024-44270HIGHA logic issue was addressed with improved validation. This issue is fixed in macOS Sequoia 15.1, macOS Sonoma 14.7.1, macOS Ventura 13.7.1. EPSS 0.6%CVE-2020-6214MEDIUMSAP S/4HANA (Financial Products Subledger), version 100, uses an incorrect authorization object in some reports. Although the affected reporEPSS 0.6%CVE-2024-2915HIGHImproper access control in PAM JIT elevation in Devolutions Server 2024.1.6 and earlier allows an attacker with access to the PAM JIT elevatEPSS 0.6%CVE-2024-34701MEDIUMCreateWiki vulnerable to impersonation of wiki requesterEPSS 0.6%CVE-2025-1214MEDIUMpihome-shc PiHome Role-Based Access Control user_accounts.php authorizationEPSS 0.6%CVE-2023-28611CRITICALIncorrect authorization in OMICRON StationGuard 1.10 through 2.20 and StationScout 1.30 through 2.20 allows an attacker to bypass intended aEPSS 0.6%CVE-2023-0298MEDIUMIncorrect Authorization in firefly-iii/firefly-iiiEPSS 0.6%CVE-2026-68525CRITICALApache Tomcat: Redirect after FORM auth may bypass method specific constraintsEPSS 0.6%CVE-2026-114059HIGHArcadeDB before 26.10.1 RCE via Gremlin Groovy Engine Missing AuthorizationEPSS 0.6%CVE-2022-25091MEDIUMInfopop Ultimate Bulletin Board up to v5.47a was discovered to allow all messages posted inside private forums to be disclosed by unauthentiEPSS 0.6%CVE-2026-103091CRITICALInsecure Default Policy and Unrestricted OIDC Enrollment in Google OSS Agent Mesh (SAM)EPSS 0.6%