Fallos del tipo CWE-863

3888 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2024-55579HIGHAn issue was discovered in Qlik Sense Enterprise for Windows before November 2024 IR. An unprivileged user with network access may be able tEPSS 0.5%CVE-2023-2576MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2024-4447CRITICALIn the System → Maintenance tool, the Logged Users tab surfaces sessionId data for all users via the Direct Web Remoting API (UserSessionAjaEPSS 0.5%CVE-2025-12925MEDIUMrymcu forest UserDicController.java deleteDic authorizationEPSS 0.5%CVE-2024-37775HIGHIncorrect access control in Sunbird DCIM dcTrack v9.1.2 allows attackers to create or update a ticket with a location which bypasses an RBACEPSS 0.5%CVE-2026-54136MEDIUMWindmill: Resource-scoped API tokens can read script contents outside their allowed path via scripts/list_searchEPSS 0.5%CVE-2024-38329HIGHIBM Storage Protect for Virtual Environments: Data Protection for VMware security bypassEPSS 0.5%CVE-2023-30024—The MagicJack device, a VoIP solution for internet phone calls, contains a hidden NAND flash memory partition allowing unauthorized read/wriEPSS 0.5%CVE-2024-57434HIGHmacrozheng mall-tiny 1.0.1 is vulnerable to Incorrect Access Control. The project imports users by default, and the test user is made a supeEPSS 0.5%CVE-2026-60010MEDIUMGitea organization team policy bypass through repository APIEPSS 0.5%CVE-2022-23490MEDIUMImproper access control to polling votesEPSS 0.5%CVE-2026-41424HIGHWazuh: Privilege Escalation via Admin-Protection Bypass in update-user API EndpointEPSS 0.5%CVE-2026-96603MEDIUMAbdurrab5 online-makeup-store Admin functions.php confirm_user authorizationEPSS 0.5%CVE-2026-47339MEDIUMApache APISIX: authz-casdoor incorrect session sharingEPSS 0.5%CVE-2023-43609MEDIUMEmerson Rosemount GC370XA, GC700XA, GC1500XA Improper AuthorizationEPSS 0.5%CVE-2023-43901MEDIUMIncorrect access control in the AdHoc User creation form of eMudhra emSigner v2.8.7 allows unauthenticated attackers to arbitrarily modify uEPSS 0.5%CVE-2026-33668HIGHVikunja Allows Disabled/Locked User Accounts to Authenticate via API Tokens, CalDAV, and OpenID ConnectEPSS 0.5%CVE-2024-27288MEDIUM1Panel open source panel project has an unauthorized vulnerability.EPSS 0.5%CVE-2024-8116MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2026-29194HIGHNetmaker: Insufficient Authorization in Host Token VerificationEPSS 0.5%