Fallos del tipo CWE-863

3888 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2026-80515HIGHIn Eclipse Arrowhead versions from 5.0.0 to 5.2.1 the management-authorization gate that protects every /…/mgmt/… REST endpoint decides whetEPSS 0.5%CVE-2026-49989HIGHCrateDB's Blob HTTP handler bypasses authorizationEPSS 0.5%CVE-2024-50647HIGHThe python_food ordering system V1.0 has an unauthorized vulnerability that leads to the leakage of sensitive user information. Attackers caEPSS 0.5%CVE-2026-30947HIGHParse Server ha a bypass of class-level permissions in LiveQueryEPSS 0.5%CVE-2026-50749MEDIUMApache Answer: Missing authorization in revision audit reject allows authenticated users to reject pending revisionsEPSS 0.5%CVE-2026-76391HIGHImproper Privilege Management through Agent Run History in Splunk AI ToolkitEPSS 0.5%CVE-2023-2515MEDIUMPrivilege escalation to system admin via personal access tokensEPSS 0.5%CVE-2026-15630CRITICALCVE-2026-15630EPSS 0.5%CVE-2026-49473HIGH@cedar-policy/authorization-for-expressjs has an authorization bypass via query string manipulationEPSS 0.5%CVE-2026-72524HIGHApache Doris: Authorization bypass allowing a low-privilege user to read/write/drop arbitrary tablesEPSS 0.5%CVE-2026-118598MEDIUMepiphany: clipboard/website-data permission prompt incorrectly grants camera and microphone accessEPSS 0.5%CVE-2026-106511CRITICALCVE-2026-106511EPSS 0.5%CVE-2024-4006MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2023-51380LOWIncorrect Authorization allows Read Access to Issue Comments in GitHub Enterprise ServerEPSS 0.5%CVE-2023-4658LOWIncorrect Authorization in GitLabEPSS 0.5%CVE-2026-26012MEDIUMvaultwarden has Full Cipher Enumeration Ignoring Organization Collection PermissionsEPSS 0.5%CVE-2026-39903HIGHSimple Machines Forum Authorization Bypass via AttachmentApprove.phpEPSS 0.5%CVE-2024-48176CRITICALLylme Spage v1.9.5 is vulnerable to Incorrect Access Control. There is no limit on the number of login attempts, and the verification code wEPSS 0.5%CVE-2026-71315HIGHNuxt route rules silently dropped for mixed-case paths, bypassing appMiddleware auth gates (incomplete fix for CVE-2026-53721)EPSS 0.5%CVE-2026-58427HIGHPrivate org member list leaked via /members API endpoint — incomplete fix for PR #38145EPSS 0.5%