Fallos del tipo CWE-863

3042 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2022-25274MEDIUMDrupal 9.3 implemented a generic entity access API for entity revisions. However, this API was not completely integrated with existing permiEPSS 0.4%CVE-2026-33489HIGHCoreDNS transfer plugin subzone ACL bypass via lexicographic zone comparisonEPSS 0.4%CVE-2024-10273MEDIUMImproper Privilege Management in lunary-ai/lunaryEPSS 0.4%CVE-2026-53769MEDIUMAvo: Direct attachment upload endpoint lacks upload authorization and bypasses field-level upload policyEPSS 0.4%CVE-2022-38475MEDIUMAn attacker could have written a value to the first element in a zero-length JavaScript array. Although the array was zero-length, the valueEPSS 0.4%CVE-2026-45831HIGHThe SimpleRBACAuthorizationProvider authorization provider in versions 0.5.0 or later of the ChromaDB Python project evaluates whether a useEPSS 0.4%CVE-2026-33676MEDIUMVikunja has Cross-Project Information Disclosure via Task Relations — Missing Authorization Check on Related Task ReadEPSS 0.4%CVE-2024-1482HIGHImproper Authorization in GitHub Enterprise Server allowed unauthorized workflow execution EPSS 0.4%CVE-2026-48507HIGHSnipe-IT: Bulk editing users allowed `ldap_import` and `activated_in` bulk editing usersEPSS 0.4%CVE-2026-91164MEDIUMWarpgate: API tokens bypass the user's allowed_ip_ranges restrictionEPSS 0.4%CVE-2026-42160CRITICALData Space Portal: Incorrect Authorization and Client-Side Enforcement of Server-Side Security in ghcr.io/sovity/ds-portal-ce-backendEPSS 0.4%CVE-2026-66003HIGHFrappe: Access control bypass via REST API dot-notation fields on linked doctypesEPSS 0.4%CVE-2026-71543HIGHOpenBao's Templated Policies Allow Privilege Escalation via Wildcard CharactersEPSS 0.4%CVE-2025-3879MEDIUMVault’s Azure Authentication Method bound_location Restriction Could be Bypassed on LoginEPSS 0.4%CVE-2026-59212MEDIUMOpen WebUI: Model meta.knowledge read-only file access can be upgraded to file write/deleteEPSS 0.4%CVE-2023-49246HIGHUnauthorized access vulnerability in the card management module. Successful exploitation of this vulnerability may affect service confidentiEPSS 0.4%CVE-2025-36546CRITICALF5OS Appliance Mode vulnerabilityEPSS 0.4%CVE-2026-59227MEDIUMOpen WebUI: POST /api/v1/images/edit bypasses the global image-edit switch and the per-user image-generation permissionEPSS 0.4%CVE-2026-32027HIGHOpenClaw < 2026.2.26 - Improper Authorization via DM Pairing Store Identity Inheritance in Group AllowlistEPSS 0.4%CVE-2023-50363HIGHQTS, QuTS heroEPSS 0.4%