Fallos del tipo CWE-863

3871 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2026-71191MEDIUMIn OpenStack Swift through 2.38.0, S3API middleware does not enforce that semantic x-amz-* headers are covered by the SigV4 signature on preEPSS 0.6%CVE-2023-22251MEDIUMAdobe Commerce Incorrect Authorization Security feature bypassEPSS 0.6%CVE-2026-32767CRITICALSiYuan: Authorization Bypass Allows Arbitrary SQL Execution via Search APIEPSS 0.6%CVE-2026-58159HIGHApache Traffic Server: Listener and ACL handling allow access-control bypassEPSS 0.6%CVE-2026-55774LOWOpenBao: Cross-namespace lease revocation/renewal via canonical sys/leases/{revoke,renew} — incomplete fix of CVE-2026-45808EPSS 0.6%CVE-2026-34645HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2021-43553LOWOSIsoft PI VisionEPSS 0.6%CVE-2026-48415HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2025-3260HIGHA security vulnerability in the /apis/dashboard.grafana.app/* endpoints allows authenticated users to bypass dashboard and folder permissionEPSS 0.6%CVE-2026-10130HIGHQueryWeaver Authentication Bypass via Email Signup Token Issuance for Existing AccountsEPSS 0.6%CVE-2026-76438MEDIUMCisco BroadWorks CommPilot Application Software Authorization Bypass VulnerabilityEPSS 0.6%CVE-2026-18674HIGHKong Mesh multi-zone: the global control plane attributes KDS-synced resources by an unvalidated in-band zone identifierEPSS 0.6%CVE-2026-48412LOWAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2023-37881MEDIUMWeak Access Control between Domains in Wing FTP Server <= 7.2.0EPSS 0.6%CVE-2025-31254MEDIUMThis issue was addressed with improved URL validation. This issue is fixed in Safari 26, iOS 26 and iPadOS 26. Processing maliciously crafteEPSS 0.6%CVE-2023-5995MEDIUMIncorrect Authorization in GitLabEPSS 0.6%CVE-2025-24419MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2022-0984—Users with the capability to configure badge criteria (teachers and managers by default) were able to configure course badges with profile fEPSS 0.6%CVE-2025-48466HIGHModbus Command Injection without AuthenticationEPSS 0.6%CVE-2025-24420MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%