Falhas do tipo CWE-287

2.850 resultados

Autenticação Insuficiente ou Ausente

Quando um usuário ou sistema afirma ser quem diz que é, a aplicação não valida (ou valida mal) essa identidade antes de conceder acesso. Isso permite que um atacante se passe por outra pessoa sem fornecer credenciais válidas, obtendo privilégios indevidos.

Exemplo

Um sistema que aceita login apenas verificando um campo de e-mail na sessão (sem senha), ou uma API que confia em um identificador de usuário enviado no header HTTP sem validar um token assinado. Um atacante simplesmente muda o valor e acessa dados de terceiros.

Como mitigar

Implemente autenticação robusta: exija senha forte + MFA quando possível, valide tokens com assinatura criptográfica, revoque sessões expiradas, e nunca confie em dados controlados pelo cliente. Teste autenticação em cada endpoint crítico.

CVE-2020-8272—Authentication Bypass resulting in exposure of SD-WAN functionality in Citrix SD-WAN Center versions before 11.2.2, 11.1.2b and 10.2.8EPSS 1.5%CVE-2019-6832—A CWE-287: Authentication vulnerability exists in spaceLYnk (all versions before 2.4.0) and Wiser for KNX (all versions before 2.4.0 - formeEPSS 1.5%CVE-2026-44551CRITICALOpen WebUI: LDAP Empty Password Authentication BypassEPSS 1.5%CVE-2019-1946MEDIUMCisco Enterprise NFV Infrastructure Software Web-Based Management Interface Authentication Bypass VulnerabilityEPSS 1.5%CVE-2019-1724HIGHCisco Small Business RV320 and RV325 Routers Session Hijacking VulnerabilityEPSS 1.5%CVE-2022-28666MEDIUMWordPress Custom Product Tabs for WooCommerce plugin <= 1.7.7 - Broken Access Control vulnerabilityEPSS 1.5%CVE-2021-23847CRITICALUnauthenticated Information Extraction VulnerabilityEPSS 1.4%CVE-2021-39177HIGHUser impersonation due to incorrect handling of the login JWTEPSS 1.4%CVE-2023-41999CRITICALArcserve UDP Management Authentication Bypass EPSS 1.4%CVE-2026-4252CRITICALTenda AC8 IPv6 check_is_ipv6 ip address for authenticationEPSS 1.4%CVE-2023-34340CRITICALApache Accumulo: Accumulo 2.1.0 may incorrectly validate cached credentialsEPSS 1.4%CVE-2026-82694CRITICALTenda AC1206 Web UI ate R7WebsSecurityHandler missing authenticationEPSS 1.4%CVE-2026-19924CRITICALTenda AC10 httpd R7WebsSecurityHandler improper authenticationEPSS 1.4%CVE-2026-82693CRITICALTenda AC1206 Web UI telnet TendaTelnet missing authenticationEPSS 1.4%CVE-2019-19104CRITICALABB/Busch-Jaeger Telephone Gateway TG/S 3.2 Improper Authentication and Access ControlEPSS 1.4%CVE-2026-82695CRITICALTenda AC18 Telnet telnet missing authenticationEPSS 1.4%CVE-2022-23652HIGHPrivilege escalation using hop-by-hop Connection headerEPSS 1.4%CVE-2023-37918MEDIUMAPI token authentication bypass in HTTP endpoints in DaprEPSS 1.4%CVE-2022-35248—A improper authentication vulnerability exists in Rocket.Chat <v5, <v4.8.2 and <v4.7.5 that allowed two factor authentication can be bypasseEPSS 1.4%CVE-2024-51767HIGHAn authentication bypass vulnerability exists in HPE AutoPass License Server (APLS) prior to 9.17.EPSS 1.4%