Falhas do tipo CWE-287

2.853 resultados

Autenticação Insuficiente ou Ausente

Quando um usuário ou sistema afirma ser quem diz que é, a aplicação não valida (ou valida mal) essa identidade antes de conceder acesso. Isso permite que um atacante se passe por outra pessoa sem fornecer credenciais válidas, obtendo privilégios indevidos.

Exemplo

Um sistema que aceita login apenas verificando um campo de e-mail na sessão (sem senha), ou uma API que confia em um identificador de usuário enviado no header HTTP sem validar um token assinado. Um atacante simplesmente muda o valor e acessa dados de terceiros.

Como mitigar

Implemente autenticação robusta: exija senha forte + MFA quando possível, valide tokens com assinatura criptográfica, revoque sessões expiradas, e nunca confie em dados controlados pelo cliente. Teste autenticação em cada endpoint crítico.

CVE-2026-54547HIGHMeta Ads MCP: X-Pipeboard-Token Header Auth Bypass Reuses Operator Meta TokenEPSS 0.5%CVE-2025-49591HIGHCryptPad 2FA Bypass VulnerabilityEPSS 0.5%CVE-2026-75973HIGHApache Tomcat: Cross-context authentication mix-up with Jakarta Authentication configuredEPSS 0.5%CVE-2024-34399CRITICAL**UNSUPPORTED WHEN ASSIGNED** An issue was discovered in BMC Remedy Mid Tier 7.6.04. An unauthenticated remote attacker is able to access anEPSS 0.5%CVE-2026-50338HIGHAzure Spring Apps Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2026-56237CRITICALCapgo - Unauthenticated API Key Generation via Client-Side Parameter ManipulationEPSS 0.5%CVE-2026-102895CRITICALGPUStack: Authentication bypass via trusted loopback source (reverse-proxy TCP peer or X-GPUStack-Real-IP header) grants unauthenticated adminEPSS 0.5%KEVCVE-2023-1980MEDIUMTwo factor authentication bypass on login in Devolutions Remote Desktop Manager 2022.3.35 and earlier allow user to cancel the two factorEPSS 0.5%CVE-2024-38523HIGHHush Line OTP issueEPSS 0.5%CVE-2026-104759HIGHWPO365 | SEAMLESS WORDPRESS + MICROSOFT INTEGRATION (WPO365 | LOGIN) <= 44.1 - Unauthenticated Authentication Bypass via OIDC Nonce Replay via id_token Nonce VerificationEPSS 0.5%CVE-2026-31387MEDIUMApache OFBiz: Cookie Manipulation Allows Authenticated JWT Forgery and Account ImpersonationEPSS 0.5%CVE-2026-15372HIGHWP 2FA < 4.1.0 - Two-Factor Authentication Bypass via Passkeys ProviderEPSS 0.5%CVE-2024-10620MEDIUMknightliao Disconf Configuration Center list improper authenticationEPSS 0.5%CVE-2026-112143MEDIUMsatya-vinay Events-Management-System missing authenticationEPSS 0.5%CVE-2023-5328MEDIUMSATO CL4NX-J Plus Cookie improper authenticationEPSS 0.5%CVE-2026-114261MEDIUMMomoTommy file-management-system Files API FileController.php destroy missing authenticationEPSS 0.5%CVE-2026-109114MEDIUMAdithyaYelloju Restaurant-Management-System Login Form login.php improper authenticationEPSS 0.5%CVE-2024-36444HIGHcgi-bin/fdmcgiwebv2.cgi on Swissphone DiCal-RED 4009 devices allows an unauthenticated attacker to gain access to device logs.EPSS 0.5%CVE-2026-75903HIGHVulnity Security <= 1.4.3 - Unauthenticated Authentication Bypass to Administrator via Exposed Pairing CredentialsEPSS 0.5%CVE-2023-5326MEDIUMSATO CL4NX-J Plus WebConfig improper authenticationEPSS 0.5%