Falhas do tipo CWE-287

2.860 resultados

Autenticação Insuficiente ou Ausente

Quando um usuário ou sistema afirma ser quem diz que é, a aplicação não valida (ou valida mal) essa identidade antes de conceder acesso. Isso permite que um atacante se passe por outra pessoa sem fornecer credenciais válidas, obtendo privilégios indevidos.

Exemplo

Um sistema que aceita login apenas verificando um campo de e-mail na sessão (sem senha), ou uma API que confia em um identificador de usuário enviado no header HTTP sem validar um token assinado. Um atacante simplesmente muda o valor e acessa dados de terceiros.

Como mitigar

Implemente autenticação robusta: exija senha forte + MFA quando possível, valide tokens com assinatura criptográfica, revoque sessões expiradas, e nunca confie em dados controlados pelo cliente. Teste autenticação em cada endpoint crítico.

CVE-2026-118412LOWApache Roller: Disabled accounts can sign in through OpenIDEPSS —CVE-2026-127275CRITICALLinksys EA8100 JNAP API ui_server.lua SetUnsecuredWiFiWarning missing authenticationEPSS —CVE-2026-127273MEDIUMLinksys EA8100 JNAP API IsAdminPasswordDefault missing authenticationEPSS —CVE-2026-0328LOWPAN-OS: User Impersonation through GlobalProtect PortalEPSS —CVE-2026-126157CRITICALA improper authentication vulnerability in Fortinet FortiMail 8.0.0 through 8.0.1, FortiMail 7.6.0 through 7.6.6, FortiMail 7.4.0 through 7.EPSS —CVE-2026-123872HIGHNode.js is vulnerable to a client certificate authentication bypass via TLS 1.2 renegotiation servername changeEPSS —CVE-2026-127278MEDIUMAIP-PUB ACPs-community verify-code Endpoint service_auth.py send_verification_code improper authenticationEPSS —CVE-2026-119040HIGHDefender Security < 6.4.1 - 2FA Bypass via Unthrottled OTP VerificationEPSS —CVE-2026-127279MEDIUMAIP-PUB ACPs-community Discovery Server main.py missing authenticationEPSS —CVE-2026-127281MEDIUMlanyulei ferry JWT Validation auth.go improper authenticationEPSS —CVE-2026-126768CRITICALOpsTree REMS through 1.0.0 Authentication Bypass via is_local_auth FlagEPSS —CVE-2026-76792HIGHUser Verification 2.0.38 - 2.0.48 - Unauthenticated Account Takeover via Unthrottled OTP Login VerificationEPSS —CVE-2026-126815HIGHPre-account hijacking via planted passwordEPSS —CVE-2026-103883HIGH6Storage Rentals <= 2.31.0 - Authenticated (Subscriber+) Authentication Bypass to Administrator Account Takeover via 'six_storage_online_api_url' Option Poisoning + Transient-Backed Auth BypassEPSS —CVE-2026-126759MEDIUMH3C ICG2000 Unified Communication Gateway Web Management check.j missing authenticationEPSS —CVE-2026-126795MEDIUMToolJet Onboarding Signup Endpoint util.service.ts activateUserWithPassword missing authenticationEPSS —CVE-2026-126160HIGHA improper authentication vulnerability in Fortinet FortiMail 8.0.0 through 8.0.1, FortiMail 7.6.0 through 7.6.6, FortiMail 7.4.0 through 7.EPSS —CVE-2026-126777CRITICALTraccar 3.15 before 6.17.0 Authentication Bypass via Empty LDAP PasswordEPSS —CVE-2026-107152HIGHRubygem-smart_proxy_dynflow: dynflow console authorizes any client certificate the capsule ca signedEPSS —CVE-2026-110959CRITICALDescope < 1.2.0 - Unauthenticated Account TakeoverEPSS —