Fallos del tipo CWE-863

3846 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2026-27604CRITICALFOSSBilling: Improper API Role Validation (system) Enables Unauthenticated Access to Privileged Admin FunctionsEPSS 1.3%CVE-2007-3968MEDIUMindex.php in dirLIST before 0.1.1 allows remote attackers to list the contents of an excluded folder via a modified URL containing the foldeEPSS 1.3%CVE-2026-24780HIGHAutoGPT is Vulnerable to RCE via Disabled Block ExecutionEPSS 1.3%CVE-2023-27388CRITICALImproper authentication vulnerability in T&D Corporation and ESPEC MIC CORP. data logger products allows a remote unauthenticated attacker tEPSS 1.3%CVE-2023-24829HIGHApache IoTDB Workbench: apache/iotdb-web-workbench: forge the JWTToken to access workbenchEPSS 1.2%CVE-2020-3578MEDIUMCisco Adaptive Security Appliance Software and Firepower Threat Defense Software WebVPN Portal Access Rule Bypass VulnerabilityEPSS 1.2%CVE-2017-15091—An issue has been found in the API component of PowerDNS Authoritative 4.x up to and including 4.0.4 and 3.x up to and including 3.4.11, wheEPSS 1.2%CVE-2024-2473MEDIUMWPS Hide Login <= 1.9.15.2 - Login Page DisclosureEPSS 1.2%CVE-2022-39958HIGHResponse body bypass in OWASP ModSecurity Core Rule Set via repeated HTTP Range header submission with a small byte rangeEPSS 1.2%CVE-2026-107333HIGHIncorrect Authorization in MalcolmEPSS 1.2%CVE-2026-34453HIGHSiYuan: Broken access control in /api/bookmark/getBookmark allows unauthenticated publish visitors to read password-protected bookmarked contentEPSS 1.2%CVE-2022-24714MEDIUMDisclosure of hosts and related data, linked to decommissioned services in Icinga Web 2EPSS 1.2%CVE-2021-20179—A flaw was found in pki-core. An attacker who has successfully compromised a key could use this flaw to renew the corresponding certificate EPSS 1.2%CVE-2022-39956HIGHPartial rule set bypass in OWASP ModSecurity Core Rule Set for HTTP multipart requests using character encoding in the Content-Type or Content-Transfer-Encoding headerEPSS 1.2%CVE-2023-27526MEDIUMApache Superset: Improper Authorization check on import chartsEPSS 1.2%CVE-2022-21706HIGHMulti-use invitations can grant access to other organizations in ZulipEPSS 1.2%CVE-2022-1706—A vulnerability was found in Ignition where ignition configs are accessible from unprivileged containers in VMs running on VMware products. EPSS 1.2%CVE-2023-26829CRITICALAn authentication bypass vulnerability in the Password Reset component of Gladinet CentreStack before 13.5.9808 allows remote attackers to sEPSS 1.2%CVE-2024-27138HIGHApache Archiva: disabling user registration is not effectiveEPSS 1.2%CVE-2022-0580HIGHIncorrect Authorization in librenms/librenmsEPSS 1.2%