Falhas do tipo CWE-288

678 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2022-31022MEDIUMMissing Role Based Access Control for the REST handlers in bleve/http packageEPSS 0.3%CVE-2020-10048—A vulnerability has been identified in SIMATIC PCS 7 (All versions), SIMATIC WinCC (All versions < V7.5 SP2). Due to an insecure password veEPSS 0.3%CVE-2026-22731HIGHAuthentication Bypass under Actuator Health groups pathsEPSS 0.3%CVE-2026-32481HIGHWordPress Ezoic plugin <= 2.22.11 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2023-42771HIGHAuthentication bypass vulnerability in ACERA 1320 firmware ver.01.26 and earlier, and ACERA 1310 firmware ver.01.26 and earlier allows a netEPSS 0.3%CVE-2026-58517MEDIUMBlocked users can create and edit WikiLambda objectsEPSS 0.3%CVE-2026-50191HIGH4gaBoards: Pre-Account Takeover via SSO Email LinkageEPSS 0.3%CVE-2026-40790MEDIUMWordPress WP SMS plugin <= 7.2.1 - Sensitive Data Exposure vulnerabilityEPSS 0.3%CVE-2026-25439HIGHWordPress Booknetic plugin <= 4.8.5 - Account Takeover vulnerabilityEPSS 0.3%CVE-2025-9914MEDIUMThe credentials of the users stored in the system's local database can be used for the log in, making it possible for an attacker to gain unEPSS 0.3%CVE-2026-81168LOWCAPTCHA Protected Page - Moderately critical - Cookie Forgery - SA-CONTRIB-2026-105EPSS 0.3%CVE-2026-62650HIGHA vulnerability has been identified in Reyrolle 7SR5 (All versions < V2.70). Server-side authorization checks in the web-based management inEPSS 0.3%CVE-2026-32678HIGHAuthentication bypass issue exists in BUFFALO Wi-Fi router products, which may allow an attacker to alter critical configuration settings wiEPSS 0.3%CVE-2025-64173HIGHApollo Router Core: Access Control Bypass on Polymorphic TypesEPSS 0.3%CVE-2017-6871—A vulnerability was discovered in Siemens SIMATIC WinCC Sm@rtClient for Android (All versions before V1.0.2.2) and SIMATIC WinCC Sm@rtClientEPSS 0.3%CVE-2026-58073CRITICALA vulnerability in Veeam Service Provider Console allowing an unauthenticated attacker to impersonate a managed agent andobtain that agent'sEPSS 0.3%CVE-2026-42629HIGHWordPress PowerPack Pro for Elementor plugin < v2.13.0 - Broken Authentication vulnerabilityEPSS 0.3%CVE-2020-37156MEDIUMBloodX 1.0 - Authentication BypassEPSS 0.3%CVE-2025-55623MEDIUMAn issue in the lock screen component of Reolink v4.54.0.4.20250526 allows attackers to bypass authentication via using an ADB (Android DebuEPSS 0.3%CVE-2026-68584CRITICALSiYuan before v3.7.3 Authentication Bypass via Content EndpointsEPSS 0.3%