Fallos del tipo CWE-863

3004 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2026-82730HIGHAuthorization-redacted field values disclosed through AshTypescript result normalizationEPSS 0.5%CVE-2026-52819MEDIUMKimai: Teamlead authorization bypass in GET /api/timesheets allows reading other users' timesheet records without being teamlead of the targetEPSS 0.5%CVE-2026-16200MEDIUMzevorn rt-claw RPC swarm.c claw_tool_invoke authorizationEPSS 0.5%CVE-2024-7711MEDIUMAn Incorrect Authorization vulnerability was identified in GitHub Enterprise Server, allowing an attacker to update the title, assignees, anEPSS 0.5%CVE-2026-19010MEDIUMTinyAGI Message API Endpoint index.ts processMessage authorizationEPSS 0.5%CVE-2026-85512MEDIUMSourceCodester Class and Exam Timetabling System session.php authorizationEPSS 0.5%CVE-2024-3504HIGHImproper Access Control in lunary-ai/lunaryEPSS 0.5%CVE-2024-5705HIGHHitachi Vantara Pentaho Business Analytics Server - Incorrect AuthorizationEPSS 0.5%CVE-2024-45261HIGHAn issue was discovered on certain GL-iNet devices, including MT6000, MT3000, MT2500, AXT1800, and AX1800 4.6.2. The SID generated for a speEPSS 0.5%CVE-2023-28270MEDIUMWindows Lock Screen Security Feature Bypass VulnerabilityEPSS 0.5%CVE-2024-23929HIGHPioneer DMH-WT7600NEX Telematics Directory TraversalEPSS 0.5%CVE-2024-23451MEDIUMElasticsearch Incorrect Authorization in the Remote Cluster Security API key based security modelEPSS 0.5%CVE-2024-48787CRITICALAn issue in Revic Optics Revic Ops (us.revic.revicops) 1.12.5 allows a remote attacker to obtain sensitive information via the firmware updaEPSS 0.5%CVE-2024-7265HIGHPrivilege Escalation in EZD RPEPSS 0.5%CVE-2024-48786CRITICALAn issue in SWITCHBOT INC SwitchBot (com.theswitchbot.switchbot) 5.0.4 allows a remote attacker to obtain sensitive information via the firmEPSS 0.5%CVE-2024-20482MEDIUMA vulnerability in the web-based management interface of Cisco Secure Firewall Management Center (FMC) Software, formerly Firepower ManagemeEPSS 0.5%CVE-2026-42357MEDIUMApache DolphinScheduler: Incorrect Authorization vulnerability allows users to access workflow instance information belonging to projects they do not have permission to access.EPSS 0.5%CVE-2024-48792HIGHAn issue in Hideez com.hideez 2.7.8.3 allows a remote attacker to obtain sensitive information via the firmware update process.EPSS 0.5%CVE-2024-40770HIGHA permissions issue was addressed with additional restrictions. This issue is fixed in macOS Sequoia 15. A non-privileged user may be able tEPSS 0.5%CVE-2024-51426HIGHAn issue in the PepeGxng smart contract (which can be run on the Ethereum blockchain) allows remote attackers to have an unspecified impact EPSS 0.5%