Falhas do tipo CWE-288

676 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2025-68707HIGHAn authentication bypass vulnerability in the Tongyu AX1800 Wi-Fi 6 Router with firmware 1.0.0 allows unauthenticated network-adjacent attacEPSS 0.5%CVE-2025-47941HIGHTYPO3 Has Broken Authentication in Backend MFAEPSS 0.4%CVE-2025-47244HIGHInedo ProGet through 2024.22 allows remote attackers to reach restricted functionality through the C# reflection layer, as demonstrated by cEPSS 0.4%CVE-2026-33543CRITICALFOSSBilling: Authentication bypass allows unauthenticated administrator creationEPSS 0.4%CVE-2026-2784CRITICALMitigation bypass in the DOM: Security componentEPSS 0.4%CVE-2025-34251HIGHTesla Telematics Control Unit (TCU) < v2025.14 Authentication BypassEPSS 0.4%CVE-2022-23724MEDIUMPingID Integration for Windows Login MFA BypassEPSS 0.4%CVE-2024-10311HIGHExternal Database Based Actions <= 0.1 - Authenticated (Subscriber+) Authentication BypassEPSS 0.4%CVE-2025-64281CRITICALAn Authentication Bypass issue in CentralSquare Community Development 19.5.7 allows attackers to access the admin panel without admin credenEPSS 0.4%CVE-2025-2080CRITICALAuthentication Bypass Using an Alternate Path or Channel in Optigo Networks Visual BACnet Capture Tool / Optigo Visual Networks Capture ToolEPSS 0.4%CVE-2025-50904CRITICALThere is an authentication bypass vulnerability in WinterChenS my-site thru commit 6c79286 (2025-06-11). An attacker can exploit this vulnerEPSS 0.4%CVE-2026-26117HIGHArc Enabled Servers - Azure Connected Machine Agent Elevation of Privilege VulnerabilityEPSS 0.4%CVE-2024-35151MEDIUMIBM OpenPages information disclosureEPSS 0.4%CVE-2025-67039CRITICALLantronix EDS3000PS Authentication Bypass Using an Alternate Path or ChannelEPSS 0.4%CVE-2026-47481MEDIUMNVIDIA Triton Inference Server for Linux contains a vulnerability where an attacker can cause an authentication bypass through an alternativEPSS 0.4%CVE-2025-29996HIGHAuthentication Bypass Vulnerability in CAP back office applicationEPSS 0.4%CVE-2025-5955HIGHService Finder SMS System <= 2.0.0 - Authentication BypassEPSS 0.4%CVE-2024-13771CRITICALCivi - Job Board & Freelance Marketplace WordPress Theme <= 2.1.4 - Authentication Bypass via Password UpdateEPSS 0.4%CVE-2025-67915HIGHWordPress Timetics plugin <= 1.0.46 - Broken Authentication vulnerabilityEPSS 0.4%CVE-2025-9967CRITICALOrion SMS OTP Verification <= 1.1.7 - Authentication Bypass via Account TakeoverEPSS 0.4%