Fallos del tipo CWE-863

3045 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2023-47716MEDIUMIBM FileNet Content Manager privilege escalationEPSS 0.4%CVE-2026-32005HIGHOpenClaw < 2026.2.25 - Authorization Bypass in Interactive Callbacks via Sender Check SkipEPSS 0.4%CVE-2022-3248MEDIUMOpenshift api admission checks does not enforce "custom-host" permissionsEPSS 0.4%CVE-2026-8789HIGHEasy Appointments <= 3.12.27 - Missing Authorization to Authenticated (Contributor+) Arbitrary Connection DeletionEPSS 0.4%CVE-2026-15320MEDIUMSipeed PicoClaw pico.go rt.ReloadConfig authorizationEPSS 0.4%CVE-2024-40530HIGHA vulnerability in Pantera CRM versions 401.152 and 402.072 allows unauthorized attackers to bypass IP-based access controls by manipulatingEPSS 0.4%CVE-2023-41882MEDIUMvantage6 Improper Access Control vulnerabilityEPSS 0.4%CVE-2025-29757CRITICALAn incorrect authorisation check in the the 'plant transfer' function of the Growatt cloud service allowed a malicous attacker with a valid EPSS 0.4%CVE-2026-12352MEDIUMIncorrect AuthorizationEPSS 0.4%CVE-2026-13060HIGH$graphLookup Aggregation Stage Authorization Check Inconsistency Allowing Unauthorized Collection AccessEPSS 0.4%CVE-2026-54707MEDIUMOnionShare Receive mode writes uploaded files even when file uploads are disabledEPSS 0.4%CVE-2024-32983HIGHMisskey allows the impersonation and takeover of remote accounts with unnormalized signed activitiesEPSS 0.4%CVE-2025-48472MEDIUMFreeScout Vulnerable to Insufficient AuthorizationEPSS 0.4%CVE-2023-52943MEDIUMIncorrect authorization vulnerability in Alert.Setting webapi component in Synology Surveillance Station before 9.2.0-11289 and 9.2.0-9289 aEPSS 0.4%CVE-2026-6863MEDIUMHTTP Filestore Endpoints Misapply Permissions Across OrganizationsEPSS 0.4%CVE-2024-5071MEDIUMBookster <= 1.1.0 - Unauthenticated Appointment Status UpdateEPSS 0.4%CVE-2026-12797MEDIUMBerriAI litellm Completions banned_keywords.py async_pre_call_hook authorizationEPSS 0.4%CVE-2026-18696HIGHImproper Authorization in MongoDB applyOps Command Handling Allows Unauthorized DDL Operations on CollectionsEPSS 0.4%CVE-2023-52944MEDIUMIncorrect authorization vulnerability in ActionRule webapi component in Synology Surveillance Station before 9.2.0-11289 and 9.2.0-9289 alloEPSS 0.4%CVE-2024-39025HIGHIncorrect access control in the /users endpoint of Cpacker MemGPT v0.3.17 allows attackers to access sensitive data.EPSS 0.4%