Fallos del tipo CWE-863

3870 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2022-0333—A flaw was found in Moodle in versions 3.11 to 3.11.4, 3.10 to 3.10.8, 3.9 to 3.9.11 and earlier unsupported versions. The calendar:manageenEPSS 0.6%CVE-2026-30944HIGHStudioCMS Affected by Privilege Escalation via Insecure API Token GenerationEPSS 0.6%CVE-2023-25017HIGHRifartek IOT Wall - Broken Access ControlEPSS 0.6%CVE-2022-42975HIGHsocket/transport.ex in Phoenix before 1.6.14 mishandles check_origin wildcarding. NOTE: LiveView applications are unaffected by default becaEPSS 0.6%CVE-2026-27780CRITICALGitea pre-receive hook can miss branch-protection checks after scanner errorsEPSS 0.6%CVE-2025-53836CRITICALXWiki Rendering is vulnerable to RCE attacks when processing nested macrosEPSS 0.6%CVE-2026-110630HIGHVentureDrake Laravel CRM before 2.4.0 Privilege Escalation via Unscoped Role AssignmentEPSS 0.6%CVE-2024-1740CRITICALIncorrect Authorization in lunary-ai/lunaryEPSS 0.6%CVE-2026-21309HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2025-50084MEDIUMVulnerability in the MySQL Server product of Oracle MySQL (component: Server: Optimizer). Supported versions that are affected are 8.0.0-8.EPSS 0.6%CVE-2025-50086MEDIUMVulnerability in the MySQL Server product of Oracle MySQL (component: Server: Components Services). Supported versions that are affected arEPSS 0.6%CVE-2021-21367MEDIUMIncorrect Authorization in switchboard-plug-bluetoothEPSS 0.6%CVE-2025-21556CRITICALVulnerability in the Oracle Agile PLM Framework product of Oracle Supply Chain (component: Agile Integration Services). The supported versEPSS 0.6%CVE-2025-36157CRITICALIBM Engineering Lifecycle Management incorrect authorizationEPSS 0.6%CVE-2023-36826HIGHSentry vulnerable to improper authorization on debug and artifact file downloadsEPSS 0.6%CVE-2023-4997HIGHImproper authorisation in Uptime DCEPSS 0.6%CVE-2026-74994MEDIUMinets, httpd: Authentication Bypass via Directory Namespace Collapse in httpd mod_authEPSS 0.6%CVE-2026-74035HIGHWazuh 4.6.0 before 4.14.8 Authentication Bypass via Empty Password in update_userEPSS 0.6%CVE-2021-40504—A certain template role in SAP NetWeaver Application Server for ABAP and ABAP Platform - versions 700, 701, 702, 710, 711, 730, 731, 740, 75EPSS 0.6%CVE-2026-48411MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%