Fallos del tipo CWE-863

3004 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2025-46569HIGHOPA server Data API HTTP path injection of RegoEPSS 0.5%CVE-2024-31682CRITICALIncorrect access control in the fingerprint authentication mechanism of Phone Cleaner: Boost & Clean v2.2.0 allows attackers to bypass fingeEPSS 0.5%CVE-2026-58139MEDIUMDuckDB AWS Extension Security Policy Bypass via load_aws_credentials ProcedureEPSS 0.5%CVE-2023-22891HIGHThere exists a privilege escalation vulnerability in SmartBear Zephyr Enterprise through 7.15.0 that could be exploited by authorized users EPSS 0.5%CVE-2026-27604CRITICALFOSSBilling: Improper API Role Validation (system) Enables Unauthenticated Access to Privileged Admin FunctionsEPSS 0.5%CVE-2026-62190HIGHOpenClaw < 2026.6.9 Authorization Bypass via flock wrapperEPSS 0.5%CVE-2023-4107MEDIUMIncorrect authorization allows a user manager to update a system adminEPSS 0.5%CVE-2024-5816MEDIUMImproper authorization allows persistent access in GitHub Enterprise ServerEPSS 0.5%CVE-2023-27485MEDIUMInsufficient verification of authorisation when accessing subresults in thmmniii/fbs-coreEPSS 0.5%CVE-2026-57137HIGHPraisonAI AgentLoop onToolCall approval runs after tool executionEPSS 0.5%CVE-2026-41325HIGHKirby is vulnerable to authorization bypass during page, file and user creation via blueprint injectionEPSS 0.5%CVE-2026-85620CRITICALPostgres MCP Pro 0.3.0 Restricted-Mode Bypass via FROM-Clause FunctionEPSS 0.5%CVE-2026-68561HIGHWekan: a low-privilege board member escalates to board admin and takes over a private board via the `sort` collection-allow ruleEPSS 0.5%CVE-2026-71387HIGHColdFusion | Incorrect Authorization (CWE-863)EPSS 0.5%CVE-2026-54076HIGHArcadeDB: Read-only users can mutate database schema (incomplete fix of CVE-2026-44221)EPSS 0.5%CVE-2026-13484LOWMLflow Experiment-scoped Label Schema CRUD API authorizationEPSS 0.5%CVE-2024-54488MEDIUMA logic issue was addressed with improved file handling. This issue is fixed in iOS 18.2 and iPadOS 18.2, iPadOS 17.7.3, macOS Sequoia 15.2,EPSS 0.5%CVE-2025-21540MEDIUMVulnerability in the MySQL Server product of Oracle MySQL (component: Server: Security: Privileges). Supported versions that are affected aEPSS 0.5%CVE-2026-1734MEDIUMZhong Bang CRMEB crontab Endpoint CrontabController.php authorizationEPSS 0.5%CVE-2024-3404MEDIUMImproper Access Control in gaizhenbiao/chuanhuchatgptEPSS 0.5%