Fallos del tipo CWE-863

3887 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2026-19863CRITICALAn unauthenticated client may access certain protected resources when using EthereumAuthenticator if the request path contains the configureEPSS 0.5%CVE-2024-3404MEDIUMImproper Access Control in gaizhenbiao/chuanhuchatgptEPSS 0.5%CVE-2026-75624HIGHIBM App Connect Enterprise is vulnerable to privilege escalation and Denial of ServiceEPSS 0.5%CVE-2026-25890HIGHFile Browser has a Path-Based Access Control Bypass via Multiple Leading Slashes in URLEPSS 0.5%CVE-2026-101000CRITICALNetcore NBR100V2 ACL unauthenticated.json uci.apply authorizationEPSS 0.5%CVE-2026-109560HIGHContinue CLI through 1.5.47 Bash Permission Rule Bypass via Command ChainingEPSS 0.5%CVE-2026-15752MEDIUMzhinianboke xianyu-auto-reply Backend User Endpoint users authorizationEPSS 0.5%CVE-2026-63137HIGHIncorrect Authorization in Kibana Leading to Privilege EscalationEPSS 0.5%CVE-2020-36969HIGHM/Monit 3.7.4 - Privilege EscalationEPSS 0.5%CVE-2023-5195MEDIUMA team member can soft delete other teams that they are not part ofEPSS 0.5%CVE-2026-77459CRITICALArgo CD: AppProject destination-namespace and resource restrictions bypassed by PreDelete/PostDelete resource hooksEPSS 0.5%CVE-2026-14167HIGHads-tec Industrial IT: Privilege escalation during configuration importEPSS 0.5%CVE-2026-54281HIGHNest: Middleware Bypass on Fastify via Trailing SlashEPSS 0.5%CVE-2026-54573MEDIUMAuthorization Bypass in API Key/OAuth Scopes via Path Parsing DiscrepancyEPSS 0.5%CVE-2024-42452HIGHA vulnerability in Veeam Backup & Replication allows a low-privileged user to start an agent remotely in server mode and obtain credentials,EPSS 0.5%CVE-2023-41882MEDIUMvantage6 Improper Access Control vulnerabilityEPSS 0.5%CVE-2026-55563HIGHFeast: `pull_request_target` integration tests run untrusted fork code with production cloud secrets; the `ok-to-test` label guard is bypassable via label persistence on `synchronize`EPSS 0.5%CVE-2026-82730HIGHAuthorization-redacted field values disclosed through AshTypescript result normalizationEPSS 0.5%CVE-2026-28328HIGHSolarWinds Observability Self-Hosted broken authorization schemaEPSS 0.5%CVE-2026-50529HIGHDataEase: Link Token Leakage Prior to Share Password/Ticket ValidationEPSS 0.5%