Fallos del tipo CWE-863

3888 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2026-41470HIGHLIVE555 < 2026.04.22 RTSP Server Authorization Bypass via Session TokenEPSS 0.5%CVE-2024-23262MEDIUMThis issue was addressed with additional entitlement checks. This issue is fixed in iOS 16.7.6 and iPadOS 16.7.6, iOS 17.4 and iPadOS 17.4, EPSS 0.5%CVE-2022-3248MEDIUMOpenshift api admission checks does not enforce "custom-host" permissionsEPSS 0.5%CVE-2023-0091LOWA flaw was found in Keycloak, where it did not properly check client tokens for possible revocation in its client credential flow. This flawEPSS 0.5%CVE-2026-88939HIGHknowns through 0.33.0 Authorization Bypass via project.set Bootstrap ExemptionEPSS 0.5%CVE-2026-52808HIGHGogs: Write-level collaborators can mutate admin-only repository settings via APIEPSS 0.5%CVE-2026-66059MEDIUMFrappe: Field-level permission bypass via Document FollowEPSS 0.5%CVE-2026-120091HIGHTemporal Server Kubernetes compute provider builds a client from caller-supplied configuration and runs a caller-chosen command on the Worker Service hostEPSS 0.5%CVE-2026-73804HIGHGitea API token scope escalation through HTTP signaturesEPSS 0.5%CVE-2024-8650MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2026-70474HIGHFlowise: Cross-Workspace OAuth2 Credential Metadata LeakEPSS 0.5%CVE-2026-92683HIGHIncomplete evaluation of multi-condition JWT where filter in @authentication in @neo4j/graphqlEPSS 0.5%CVE-2026-68980LOWApache NiFi: Authorization Bypass for Parameter Context Asset DeletionEPSS 0.5%CVE-2024-20466MEDIUMCisco Identity Services Engine Sensitive Information Disclosure VulnerabilityEPSS 0.5%CVE-2024-10219MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2026-3514HIGHAuthentication Bypass in prefecthq/prefectEPSS 0.5%CVE-2024-36536CRITICALInsecure permissions in fabedge v0.8.1 allows attackers to access sensitive data and escalate privileges by obtaining the service account's EPSS 0.5%CVE-2023-3979LOWIncorrect Authorization in GitLabEPSS 0.5%CVE-2025-31481HIGHGraphQL query operations security can be bypassedEPSS 0.5%CVE-2024-55579HIGHAn issue was discovered in Qlik Sense Enterprise for Windows before November 2024 IR. An unprivileged user with network access may be able tEPSS 0.5%