Falhas do tipo CWE-288

675 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2025-45607CRITICALAn issue in the component /manage/ of itranswarp v2.19 allows attackers to bypass authentication via a crafted request.EPSS 0.5%CVE-2026-24359HIGHWordPress Dokan plugin <= 4.2.4 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2025-47461HIGHWordPress Subaccounts for WooCommerce plugin <= 1.6.6 - Account Takeover vulnerabilityEPSS 0.5%CVE-2025-0749HIGHHomey <= 2.4.3 - Limited Authentication Bypass due to Missing Empty Value CheckEPSS 0.5%CVE-2024-35124HIGHIBM OpenBMC authentication bypassEPSS 0.5%CVE-2026-73381CRITICALWordPress Popup by Supsystic plugin <= 1.13.0 - Broken Authentication vulnerabilityEPSS 0.5%CVE-2026-8697HIGHImproper Authentication Rate Limiting on TP-Link's Archer C64EPSS 0.5%CVE-2024-50503CRITICALWordPress User Toolkit plugin <= 1.2.3 - Account Takeover vulnerabilityEPSS 0.5%CVE-2024-43692CRITICALDover Fueling Solutions ProGauge MAGLINK LX CONSOLE Authentication Bypass Using an Alternate Path or ChannelEPSS 0.5%CVE-2026-76169HIGHfastify vulnerable to authentication bypass via malformed URLs reaching encapsulated not-found handlersEPSS 0.5%CVE-2026-8598CRITICALUnauthenticated Export Service in ZKTeco CCTV CamerasEPSS 0.5%CVE-2026-27707HIGHPlex-configured Seerr instances vulnerable to unauthenticated account registration via Jellyfin authentication endpointEPSS 0.5%CVE-2025-7692HIGHOrion Login with SMS <= 1.0.5 - Authentication Bypass via Weak OTPEPSS 0.5%CVE-2024-34524CRITICALIn XLANG OpenAgents through fe73ac4, the allowed_file protection mechanism can be bypassed by using an incorrect file extension for the natuEPSS 0.5%CVE-2021-41992HIGHPingID Windows Login RSA cryptographic weakness with possible offline MFA bypassEPSS 0.5%CVE-2025-3639LOWLiferay Portal 7.3.0 through 7.4.3.132, and Liferay DXP 2025.Q1 through 2025.Q1.6, 2024.Q4.0 through 2024.Q4.7, 2024.Q3.1 through 2024.Q3.13EPSS 0.5%CVE-2024-49675HIGHWordPress iBryl Switch User plugin <= 1.0.1 - Account Takeover vulnerabilityEPSS 0.5%CVE-2026-40582CRITICALChurchCRM: Authentication Bypass in `/api/public/user/login` Allows Bypass of 2FA and Account LockoutEPSS 0.5%CVE-2024-26566HIGHAn issue in Cute Http File Server v.3.1 allows a remote attacker to escalate privileges via the password verification component.EPSS 0.5%CVE-2025-23504CRITICALWordPress Felan Framework plugin <= 1.1.3 - Account Takeover vulnerabilityEPSS 0.5%