Falhas do tipo CWE-288

746 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2021-4353MEDIUMWooCommerce Dynamic Pricing and Discounts <= 2.4.1 - Unauthenticated Settings Import/ExportEPSS 0.7%CVE-2024-3496HIGHAuthentication Bypass VulnerabilityEPSS 0.7%CVE-2024-1646HIGHAuthentication Bypass in parisneo/lollms-webuiEPSS 0.7%CVE-2024-6397CRITICALInstaWP Connect – 1-click WP Staging & Migration <= 0.1.0.44 - Authentication Bypass to AdminEPSS 0.7%CVE-2020-17409MEDIUMThis vulnerability allows network-adjacent attackers to disclose sensitive information on affected installations of NETGEAR R6120, R6080, R6EPSS 0.7%CVE-2025-66200MEDIUMApache HTTP Server: mod_userdir+suexec bypass via AllowOverride FileInfoEPSS 0.7%CVE-2025-7710CRITICALBrave Conversion Engine (PRO) <= 0.7.7 - Authentication Bypass to AdministratorEPSS 0.7%CVE-2025-51381CRITICALAn authentication bypass vulnerability exists in KCM3100 Ver1.4.2 and earlier. If this vulnerability is exploited, an attacker may bypass thEPSS 0.7%CVE-2026-79850CRITICALAuthentication Bypass Leading to Remote Code Execution in AOS-8EPSS 0.7%CVE-2026-79844CRITICALAuthentication Bypass Leading to Remote Code Execution in AOS-10EPSS 0.7%CVE-2025-53187CRITICALUnauthenticated RCEEPSS 0.7%CVE-2025-31095CRITICALWordPress Material Dashboard plugin <= 1.4.5 - Privilege Escalation VulnerabilityEPSS 0.7%CVE-2024-2013CRITICALAn authentication bypass vulnerability exists in the FOXMAN-UN/UNEM server / API Gateway component that if exploited allows attackers withouEPSS 0.7%CVE-2023-50915MEDIUMAn issue exists in GalaxyClientService.exe in GOG Galaxy (Beta) 2.0.67.2 through 2.0.71.2 that could allow authenticated users to overwrite EPSS 0.7%CVE-2024-6328CRITICALMStore API – Create Native Android & iOS Apps On The Cloud <= 4.14.7 - Authentication BypassEPSS 0.7%CVE-2025-1909CRITICALBuddyBoss Platform Pro <= 2.7.01 - Authentication Bypass via Apple OAuth providerEPSS 0.7%CVE-2025-1061CRITICALNextend Social Login Pro <= 3.1.16 - Authentication Bypass via Apple OAuth providerEPSS 0.7%CVE-2025-24095HIGHThis issue was addressed with additional entitlement checks. This issue is fixed in iOS 18.4 and iPadOS 18.4, visionOS 2.4. An app may be abEPSS 0.7%CVE-2026-5268CRITICALSFTP Server Authentication WeaknessEPSS 0.7%CVE-2024-9893CRITICALNextend Social Login Pro <= 3.1.14 - Authentication Bypass via WordPress.com OAuth providerEPSS 0.7%