Falhas do tipo CWE-288

746 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2024-54336HIGHWordPress Projectopia plugin <= 5.1.7 - Account Takeover vulnerabilityEPSS 0.7%CVE-2024-5432CRITICALLifeline Donation <= 1.2.6 - Authentication BypassEPSS 0.7%CVE-2026-32130HIGHZITADEL SCIM Authentication Bypass via URL EncodingEPSS 0.7%CVE-2024-9893CRITICALNextend Social Login Pro <= 3.1.14 - Authentication Bypass via WordPress.com OAuth providerEPSS 0.7%CVE-2026-35087CRITICALAuthentication Bypass in Slican telephone exchangesEPSS 0.7%CVE-2024-38437CRITICALD-Link - CWE-288: Authentication Bypass Using an Alternate Path or ChannelEPSS 0.7%CVE-2024-7628HIGHMStore API – Create Native Android & iOS Apps On The Cloud <= 4.15.2 - Authentication Bypass to Account TakeoverEPSS 0.7%CVE-2025-11534CRITICALAuthentication Bypass Using an Alternate Path or Channel in Raisecomm RAX701-GC SeriesEPSS 0.7%CVE-2024-7350CRITICALAppointment Booking Calendar Plugin and Online Scheduling Plugin – BookingPress 1.1.6 - 1.1.7 - Authentication Bypass to Account TakeoverEPSS 0.7%CVE-2023-39231HIGHPingFederate PingOne MFA IK Device Pairing Second Factor Authentication BypassEPSS 0.7%CVE-2024-43234CRITICALWordPress Woffice theme <= 5.4.14 - Unauthenticated Account Takeover vulnerabilityEPSS 0.7%CVE-2024-11925CRITICALWP JobSearch <= 2.6.7 - Authentication Bypass to Account Takeover and Privilege EscalationEPSS 0.7%CVE-2025-30026MEDIUMThe AXIS Camera Station Server had a flaw that allowed to bypass authentication that is normally required.EPSS 0.7%CVE-2024-11178HIGHLogin With OTP <= 1.4.2 - Authentication Bypass via Weak OTPEPSS 0.6%CVE-2026-72691HIGHOpenSignLabs opensignserver - Authentication BypassEPSS 0.6%CVE-2026-16639CRITICALInternationalization Single Sign-On - Critical - Access bypass - SA-CONTRIB-2026-081EPSS 0.6%CVE-2024-11286CRITICALWP JobHunt <= 7.1 - Authentication BypassEPSS 0.6%CVE-2024-7007HIGHAuthentication Bypass Using an Alternate Path or Channel in Positron Broadcast Signal Processor TRA7005EPSS 0.6%CVE-2026-22572MEDIUMAn authentication bypass using an alternate path or channel vulnerability in Fortinet FortiAnalyzer 7.6.0 through 7.6.3, FortiAnalyzer 7.4.0EPSS 0.6%CVE-2026-44574HIGHNext.js: Middleware / Proxy bypass through dynamic route parameter injectionEPSS 0.6%