Falhas do tipo CWE-288

675 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2020-27866HIGHThis vulnerability allows network-adjacent attackers to bypass authentication on affected installations of NETGEAR R6020, R6080, R6120, R622EPSS 8.7%CVE-2024-31814HIGHTOTOLINK EX200 V4.0.3c.7646_B20201211 allows attackers to bypass login through the Form_Login function.EPSS 8.3%CVE-2024-50477CRITICALWordPress Stacks Mobile App Builder plugin <= 5.2.3 - Account Takeover vulnerabilityEPSS 8.1%CVE-2025-24472HIGHAn Authentication Bypass Using an Alternate Path or Channel vulnerability [CWE-288] affecting FortiOS 7.0.0 through 7.0.16 and FortiProxy 7.EPSS 7.2%KEVCVE-2024-9989CRITICALCrypto <= 2.18 - Authentication Bypass via log_inEPSS 7.1%CVE-2023-2437CRITICALUserPro <= 5.1.1 - Authentication Bypass to AdministratorEPSS 6.7%CVE-2025-69985CRITICALFUXA 1.2.8 and prior contains an Authentication Bypass vulnerability leading to Remote Code Execution (RCE). The vulnerability exists in theEPSS 5.6%CVE-2026-19490CRITICALNetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-19490EPSS 5.6%CVE-2024-11639CRITICALAn authentication bypass in the admin web console of Ivanti CSA before 5.0.3 allows a remote unauthenticated attacker to gain administrativeEPSS 4.9%CVE-2018-5386—Some Navarino Infinity functions placed in the URL can bypass any authentication mechanism leading to an information leakEPSS 4.6%CVE-2023-2734CRITICALMStore API <= 3.9.1 - Authentication BypassEPSS 3.8%CVE-2018-17918—Circontrol CirCarLife all versions prior to 4.3.1, authentication to the device can be bypassed by entering the URL of a specific page.EPSS 3.8%CVE-2025-0674CRITICALElber Communications Equipment Authentication Bypass Using an Alternate Path or ChannelEPSS 3.7%CVE-2025-49125HIGHApache Tomcat: Security constraint bypass for pre/post-resourcesEPSS 3.4%CVE-2021-28131—Impala logs contain secretsEPSS 3.3%CVE-2021-36308MEDIUMNetworking OS10, versions prior to October 2021 with Smart Fabric Services enabled, contains an authentication bypass vulnerability. A remotEPSS 3.3%CVE-2019-6551—Pangea Communications Internet FAX ATA all Versions 3.1.8 and prior allow an attacker to bypass user authentication using a specially crafteEPSS 3.3%CVE-2026-53576CRITICALKestra: Unauthenticated RCE via /configs path-suffix auth-filter bypassEPSS 3.2%CVE-2025-55338MEDIUMWindows BitLocker Security Feature Bypass VulnerabilityEPSS 3.1%CVE-2024-8943CRITICALLatePoint <= 5.0.12 - Authentication BypassEPSS 3.1%