Falhas do tipo CWE-288

746 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2024-4544CRITICALPie Register - Social Sites Login (Add on) <= 1.7.7 - Authentication BypassEPSS 0.6%CVE-2025-8995CRITICALAuthenticator Login - Highly critical - Access bypass - SA-CONTRIB-2025-096EPSS 0.6%CVE-2026-2095CRITICALFlowring｜Agentflow - Authentication BypassEPSS 0.6%CVE-2025-43436HIGHA permissions issue was addressed with additional restrictions. This issue is fixed in iOS 26.1 and iPadOS 26.1, macOS Tahoe 26.1, tvOS 26.1EPSS 0.6%CVE-2024-9289CRITICALWordPress & WooCommerce Affiliate Program <= 8.4.1 - Authentication Bypass to Account Takeover and Privilege EscalationEPSS 0.6%CVE-2026-7458CRITICALUser Verification by PickPlugins <= 2.0.46 - Unauthenticated Authentication Bypass via OTP Verification REST API EndpointEPSS 0.6%CVE-2024-4552CRITICALSocial Login Lite For WooCommerce <= 1.6.0 - Authentication BypassEPSS 0.6%CVE-2024-9105CRITICALUltimateAI <= 2.8.3 - Authentication BypassEPSS 0.6%CVE-2026-31271CRITICALmegagao production_ssm v1.0 contains an authorization bypass vulnerability in the user addition functionality. The insert() method in UserCoEPSS 0.6%CVE-2026-62650HIGHA vulnerability has been identified in Reyrolle 7SR5 (All versions < V2.70). Server-side authorization checks in the web-based management inEPSS 0.6%CVE-2026-61425CRITICALJoomla Extension - balbooa.com - Authentication bypass in Gridbox < 1.6.0EPSS 0.6%CVE-2025-1671CRITICALAcademist Membership <= 1.1.6 - Authentication Bypass via Account TakeoverEPSS 0.6%CVE-2026-58172CRITICALOcelot - IP Allow/Block List Bypass for WebSocket Upgrade RequestsEPSS 0.6%CVE-2026-104075CRITICALTVU Networks Receiver/Transceiver Authentication Bypass via /tvu/LoginEPSS 0.6%CVE-2025-54713CRITICALWordPress Taxi Booking Manager for WooCommerce plugin <= 1.3.0 - Broken Authentication vulnerabilityEPSS 0.6%CVE-2024-9930CRITICALExtensions by HocWP Team <= 0.2.3.2 - Authentication BypassEPSS 0.6%CVE-2024-9931CRITICALWux Blog Editor <= 3.0.0 - Authentication Bypass to AdministratorEPSS 0.6%CVE-2025-1564CRITICALSetSail Membership <= 1.0.3 - Authentication Bypass via Account TakeoverEPSS 0.6%CVE-2026-27707HIGHPlex-configured Seerr instances vulnerable to unauthenticated account registration via Jellyfin authentication endpointEPSS 0.6%CVE-2024-46887MEDIUMThe web server of affected devices do not properly authenticate user request to the '/ClientArea/RuntimeInfoData.mwsl' endpoint. This could EPSS 0.6%