Fallos del tipo CWE-863

3876 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2025-40568MEDIUMA vulnerability has been identified in RUGGEDCOM RST2428P (6GK6242-6PA00) (All versions < V3.2), SCALANCE XCH328 (6GK5328-4TS01-2EC2) (All vEPSS 0.5%CVE-2024-44667HIGHShenzhen Haichangxing Technology Co., Ltd HCX H822 4G LTE Router M7628NNxISPxUIv2_v1.0.1557.15.35_P0 is vulnerable to Incorrect Access ContrEPSS 0.5%CVE-2026-62420CRITICALCross-project cluster migration bypasses project restrictions via cluster notification flagEPSS 0.5%CVE-2026-86665MEDIUMaircheng-org iWebShop-5 update.php index authorizationEPSS 0.5%CVE-2023-22945MEDIUMIn the GrowthExperiments extension for MediaWiki through 1.39, the growthmanagementorlist API allows blocked users (blocked in ApiManageMentEPSS 0.5%CVE-2026-22595HIGHGhost has Staff Token permission bypassEPSS 0.5%CVE-2026-63085HIGHAxelor Open Platform 8.x < 8.2.2 Authorization Bypass via Nested Relational Record PersistenceEPSS 0.5%CVE-2026-71506HIGHDolibarr < 24.0.0 Payments REST API Improper Authorization via Delete EndpointEPSS 0.5%CVE-2022-2597—Visual Portfolio < 2.19.0 - Contributor+ CSS InjectionEPSS 0.5%CVE-2024-45125MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.5%CVE-2026-113611MEDIUMOutline before 1.8.0 Information Disclosure via Orphaned Webhook SubscriptionsEPSS 0.5%CVE-2026-26205HIGHopa-envoy-plugin has an Authorization Bypass via Double-Slash Path Misinterpretation in `input.parsed_path`EPSS 0.5%CVE-2022-30358HIGHOvalEdge 5.2.8.0 and earlier is affected by an Account Takeover vulnerability via a POST request to /user/updatePassword via the userId and EPSS 0.5%CVE-2026-100252HIGHApache ZooKeeper: SASL authorization bypass on the client port through a client-supplied authorization IDEPSS 0.5%CVE-2023-4532MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2022-46160MEDIUMTuleap dashboards vulnerable to Incorrect AuthorizationEPSS 0.5%CVE-2026-97406CRITICALAuthentication Bypass via Bearer Tokens to Unauthorized Credential MintingEPSS 0.5%CVE-2022-39388HIGHIstio may allow identity impersonation if user has localhost accessEPSS 0.5%CVE-2023-37491HIGHImproper Authorization check vulnerability in SAP Message ServerEPSS 0.5%CVE-2026-47892CRITICALSpring Framework Header Predicate Bypass in WebFlux Functional EndpointsEPSS 0.5%