Fallos del tipo CWE-863

3876 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2025-24421MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.5%CVE-2024-38392CRITICALPexip Infinity Connect before 1.13.0 lacks sufficient authenticity checks during the loading of resources, and thus remote attackers can cauEPSS 0.5%CVE-2026-35490CRITICALchangedetection.io has an Authentication Bypass via Decorator OrderingEPSS 0.5%CVE-2026-44252HIGHWazuh Manager dapi RBAC Bypass Allows Privilege EscalationEPSS 0.5%CVE-2022-27551MEDIUMHCL Launch could allow an authenticated user to obtain sensitive information (CVE-2022-27551)EPSS 0.5%CVE-2022-39302MEDIUMRee6 may bypass webhook protectionEPSS 0.5%CVE-2026-62202HIGHOpenClaw 2026.6.1 < 2026.6.9 Privilege Escalation via CronEPSS 0.5%CVE-2026-67341CRITICALArcadeDB before 26.7.2 Authorization Bypass via SQL DEFINE FUNCTIONEPSS 0.5%CVE-2026-15541MEDIUMwill-moss Isaiah Master Websocket server.go Server.Handle authorizationEPSS 0.5%CVE-2026-30820HIGHFlowise Authorization Bypass via Spoofed x-request-from HeaderEPSS 0.5%CVE-2023-24600—OX App Suite before backend 7.10.6-rev37 allows authenticated users to bypass access controls (for reading contacts) via a move to their ownEPSS 0.5%CVE-2023-25173MEDIUMcontainerd supplementary groups are not set up properlyEPSS 0.5%CVE-2024-4146CRITICALIncorrect Authorization in lunary-ai/lunaryEPSS 0.5%CVE-2026-118267HIGHWP Data Access <= 5.5.89 - Incorrect Authorization to Unauthenticated Privilege Escalation via 'key' and 'val' Parameters on app/update, app/delete, app/insertEPSS 0.5%CVE-2025-46569HIGHOPA server Data API HTTP path injection of RegoEPSS 0.5%CVE-2026-111771MEDIUMModel Context Protocol TypeScript SDK: Server bearer authentication accepted tokens issued for another serviceEPSS 0.5%CVE-2024-39690HIGHCapsule tenant owner with "patch namespace" permission can hijack system namespacesEPSS 0.5%CVE-2023-31250MEDIUMDrupal core - Moderately critical - Access bypass - SA-CORE-2023-005EPSS 0.5%CVE-2026-68791HIGHAzure Machine Learning Information Disclosure VulnerabilityEPSS 0.5%CVE-2019-14832MEDIUMA flaw was found in the Keycloak REST API before version 8.0.0 where it would permit user access from a realm the user was not configured. AEPSS 0.5%