Fallos del tipo CWE-863

3871 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2026-3660CRITICALIBM Engineering Lifecycle Management - Jazz Foundation is vulnerable to Authentication BypassEPSS 0.6%CVE-2026-58443CRITICALPublic-only repository tokens can update private PR head branchesEPSS 0.6%CVE-2023-28249MEDIUMWindows Boot Manager Security Feature Bypass VulnerabilityEPSS 0.6%CVE-2026-73313HIGHXenForo < 2.3.13 MFA Bypass via Passkey TFA ProviderEPSS 0.6%CVE-2026-54693HIGHZITADEL Users Can Self-Verify Email/Phone via APIEPSS 0.6%CVE-2026-100560HIGHOpenClaw before 2026.8.1 Reusable Exec Approvals Authorization BypassEPSS 0.6%CVE-2024-47616MEDIUMPomerium's service account access token may grant unintended access to databroker APIEPSS 0.6%CVE-2025-21567MEDIUMVulnerability in the MySQL Server product of Oracle MySQL (component: Server: Security: Privileges). Supported versions that are affected aEPSS 0.6%CVE-2026-82394MEDIUMSulu: Fix authorization bypass when creating preview linksEPSS 0.6%CVE-2023-35939HIGHGLPI vulnerable to unauthorized access to Dashboard dataEPSS 0.6%CVE-2026-49050HIGHApache DolphinScheduler: General user can mint admin access tokens via /access-tokensEPSS 0.6%CVE-2024-45106HIGHApache Ozone: Improper authentication when generating S3 secretsEPSS 0.6%CVE-2024-54530CRITICALThe issue was addressed with improved checks. This issue is fixed in iOS 18.2 and iPadOS 18.2, macOS Sequoia 15.2, visionOS 2.2, watchOS 11.EPSS 0.6%CVE-2025-26511HIGHCassandra-Lucene-Index allows bypass of Cassandra RBACEPSS 0.6%CVE-2024-1452MEDIUMGenerateBlocks <= 1.8.2 - Sensitive Information ExposureEPSS 0.6%CVE-2020-5418LOWCloud Controller allows users with no roles to list dropletsEPSS 0.6%CVE-2024-21262MEDIUMVulnerability in the MySQL Connectors product of Oracle MySQL (component: Connector/ODBC). Supported versions that are affected are 9.0.0 aEPSS 0.6%CVE-2026-111627HIGHHestiaCP before 1.10.5 Protected Admin Bypass via Cron Job CreationEPSS 0.6%CVE-2025-5187MEDIUMNodes can delete themselves by adding an OwnerReferenceEPSS 0.6%CVE-2026-90460HIGHAn issue was discovered in OpenStack Keystone before 29.0.3. Tokens obtained via delegated authentication methods (EC2 credentials, applicatEPSS 0.6%