Fallos del tipo CWE-863

3882 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2026-20072MEDIUMISE information disclosureEPSS 0.5%CVE-2023-4107MEDIUMIncorrect authorization allows a user manager to update a system adminEPSS 0.5%CVE-2024-10275HIGHImproper Role Modification by Admins for Billing Permissions in lunary-ai/lunaryEPSS 0.5%CVE-2026-62190HIGHOpenClaw < 2026.6.9 Authorization Bypass via flock wrapperEPSS 0.5%CVE-2022-39352MEDIUMOpenFGA Authorization BypassEPSS 0.5%CVE-2024-5816MEDIUMImproper authorization allows persistent access in GitHub Enterprise ServerEPSS 0.5%CVE-2026-57137HIGHPraisonAI AgentLoop onToolCall approval runs after tool executionEPSS 0.5%CVE-2023-27485MEDIUMInsufficient verification of authorisation when accessing subresults in thmmniii/fbs-coreEPSS 0.5%CVE-2022-31155MEDIUMUnauthorized overwriting of saved searches in SourcegraphEPSS 0.5%CVE-2022-31154MEDIUMIndirect Object Access in Sourcegraph Code MonitoringEPSS 0.5%CVE-2026-85620CRITICALPostgres MCP Pro 0.3.0 Restricted-Mode Bypass via FROM-Clause FunctionEPSS 0.5%CVE-2026-68561HIGHWekan: a low-privilege board member escalates to board admin and takes over a private board via the `sort` collection-allow ruleEPSS 0.5%CVE-2026-71387HIGHColdFusion | Incorrect Authorization (CWE-863)EPSS 0.5%CVE-2025-21569MEDIUMVulnerability in the Oracle Hyperion Data Relationship Management product of Oracle Hyperion (component: Web Services). The supported versEPSS 0.5%CVE-2023-5198MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2025-21565HIGHVulnerability in the Oracle Agile PLM Framework product of Oracle Supply Chain (component: Install). The supported version that is affecteEPSS 0.5%CVE-2026-13484LOWMLflow Experiment-scoped Label Schema CRUD API authorizationEPSS 0.5%CVE-2023-28635MEDIUMDefining resource name as integer in vantage6 may give unintended accessEPSS 0.5%CVE-2026-54076HIGHArcadeDB: Read-only users can mutate database schema (incomplete fix of CVE-2026-44221)EPSS 0.5%CVE-2024-3404MEDIUMImproper Access Control in gaizhenbiao/chuanhuchatgptEPSS 0.5%