Falhas do tipo CWE-288

675 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2026-70468HIGHA authentication bypass using an alternate path or channel vulnerability in Fortinet FortiManager 7.6.1, FortiManager 7.4.3 through 7.4.5, FEPSS 0.7%CVE-2026-14917HIGHKong API Gateway Enterprise: SAML Authentication bypassEPSS 0.7%CVE-2023-39930HIGHPingFederate PingID Radius PCV Authentication BypassEPSS 0.7%CVE-2025-51381CRITICALAn authentication bypass vulnerability exists in KCM3100 Ver1.4.2 and earlier. If this vulnerability is exploited, an attacker may bypass thEPSS 0.7%CVE-2024-2013CRITICALAn authentication bypass vulnerability exists in the FOXMAN-UN/UNEM server / API Gateway component that if exploited allows attackers withouEPSS 0.7%CVE-2023-50915MEDIUMAn issue exists in GalaxyClientService.exe in GOG Galaxy (Beta) 2.0.67.2 through 2.0.71.2 that could allow authenticated users to overwrite EPSS 0.7%CVE-2026-76943CRITICALXiiaozet LK100W Authentication Bypass Using an Alternate Path or ChannelEPSS 0.7%CVE-2024-6328CRITICALMStore API – Create Native Android & iOS Apps On The Cloud <= 4.14.7 - Authentication BypassEPSS 0.7%CVE-2026-5268CRITICALSFTP Server Authentication WeaknessEPSS 0.7%CVE-2025-6895CRITICALMelaPress Login Security 2.1.0 - 2.1.1 - Authentication Bypass to Privilege Escalation via get_valid_user_based_on_token FunctionEPSS 0.7%CVE-2025-1061CRITICALNextend Social Login Pro <= 3.1.16 - Authentication Bypass via Apple OAuth providerEPSS 0.7%CVE-2024-5432CRITICALLifeline Donation <= 1.2.6 - Authentication BypassEPSS 0.7%CVE-2024-54336HIGHWordPress Projectopia plugin <= 5.1.7 - Account Takeover vulnerabilityEPSS 0.7%CVE-2024-9893CRITICALNextend Social Login Pro <= 3.1.14 - Authentication Bypass via WordPress.com OAuth providerEPSS 0.7%CVE-2024-56013HIGHWordPress Wovax IDX plugin <= 1.2.2 - Account Takeover vulnerabilityEPSS 0.7%CVE-2022-26870HIGHDell PowerStore versions 2.1.0.x contain an Authentication bypass vulnerability. A remote unauthenticated attacker could potentially exploitEPSS 0.7%CVE-2026-35087CRITICALAuthentication Bypass in Slican telephone exchangesEPSS 0.7%CVE-2024-38437CRITICALD-Link - CWE-288: Authentication Bypass Using an Alternate Path or ChannelEPSS 0.7%CVE-2025-7742HIGHAuthentication Bypass in LG Innotek CameraEPSS 0.7%CVE-2024-7628HIGHMStore API – Create Native Android & iOS Apps On The Cloud <= 4.15.2 - Authentication Bypass to Account TakeoverEPSS 0.7%