Fallos del tipo CWE-863

3871 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2025-21403MEDIUMOn-Premises Data Gateway Information Disclosure VulnerabilityEPSS 0.6%CVE-2026-100721CRITICALvm2 before 3.12.2 Authorization Bypass via Custom ResolverEPSS 0.6%CVE-2024-27105HIGHFrappe File Permissions can by bypassed using certain endpointsEPSS 0.6%CVE-2026-71383HIGHColdFusion | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2024-57677MEDIUMAn access control issue in the component form2Wan.cgi of D-Link 816A2_FWv1.10CNB05_R1B011D88210 allows unauthenticated attackers to set the EPSS 0.6%CVE-2024-23329LOWchangedetection.io API endpoint is not secured with API tokenEPSS 0.6%CVE-2023-3066HIGHMobatime mobile application - Broken authorisationEPSS 0.6%CVE-2024-22412LOWClickHouse's Role-based Access Control is bypassed when query caching is enabled.EPSS 0.6%CVE-2024-57679MEDIUMAn access control issue in the component form2RepeaterSetup.cgi of D-Link 816A2_FWv1.10CNB05_R1B011D88210 allows unauthenticated attackers tEPSS 0.6%CVE-2026-55625MEDIUMGoCD is vulnerable to authorization bypass via material connection test APIsEPSS 0.6%CVE-2024-1741CRITICALImproper Authorization in lunary-ai/lunaryEPSS 0.6%CVE-2026-86544HIGHknowns before 0.30.0 Authorization Bypass via Misclassified Code ActionsEPSS 0.6%CVE-2024-6593CRITICALWatchGuard Firebox Single Sign-On Agent Management Interface Authentication BypassEPSS 0.6%CVE-2026-52740MEDIUMGoCD is vulnerable to pipeline template view API authorization bypassEPSS 0.6%CVE-2021-42025—A vulnerability has been identified in Mendix Applications using Mendix 8 (All versions < V8.18.13), Mendix Applications using Mendix 9 (AllEPSS 0.6%CVE-2026-54560HIGHCloudreve: OAuth access tokens bypass scope enforcement due to missing client_id claimEPSS 0.6%CVE-2023-3484HIGHIncorrect Authorization in GitLabEPSS 0.6%CVE-2023-0133MEDIUMInappropriate implementation in in Permission prompts in Google Chrome on Android prior to 109.0.5414.74 allowed a remote attacker to bypassEPSS 0.6%CVE-2021-33718—A vulnerability has been identified in Mendix Applications using Mendix 7 (All versions < V7.23.22), Mendix Applications using Mendix 8 (AllEPSS 0.6%CVE-2026-57117HIGHPraisonAI: Compute-bridged file tools allow shell command injectionEPSS 0.6%