Falhas do tipo CWE-288

747 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2022-22189HIGHContrail Service Orchestration: An authenticated local user may have their permissions elevated via the device via management interface without authenticationEPSS 0.2%CVE-2020-11005MEDIUMInternal NCryptDecrypt method could be used externally from WindowsHello library.EPSS 0.2%CVE-2025-3652MEDIUMPetlibro Smart Pet Feeder Platform through 1.7.31 Audio Information Disclosure via API endpointEPSS 0.2%CVE-2026-47200MEDIUMNuxt: Route middleware not enforced when rendering `.server.vue` pages via `/__nuxt_island/page_*`EPSS 0.2%CVE-2026-118582HIGHCAPTCHA - Moderately critical - Session Replay (CAPTCHA bypass) - SA-CONTRIB-2026-281EPSS 0.2%CVE-2026-107361MEDIUMAuthentication Bypass Using an Alternate Path or Channel in MalcolmEPSS 0.2%CVE-2026-0948MEDIUMMicrosoft Entra ID SSO Login - Critical - Access bypass - SA-CONTRIB-2026-005EPSS 0.2%CVE-2025-12431MEDIUMInappropriate implementation in Extensions in Google Chrome prior to 142.0.7444.59 allowed an attacker who convinced a user to install a malEPSS 0.2%CVE-2026-111712MEDIUMNetcore NR256CN through 1.5.140116 Authentication Bypass via CGI Path PrefixEPSS 0.2%CVE-2021-32958MEDIUMClaroty Secure Remote Access Site - Authentication Bypass Using an Alternate Path or ChannelEPSS 0.2%CVE-2025-55012HIGHZed AI Agent Remote Code ExecutionEPSS 0.2%CVE-2021-35530MEDIUMUser authentication bypass in TXpert Hub CoreTec 4EPSS 0.2%CVE-2024-29853HIGHAn authentication bypass vulnerability in Veeam Agent for Microsoft Windows allows for local privilege escalation.EPSS 0.2%CVE-2026-107254MEDIUMAuthenticator Login Plus (2FA) - Critical - Improper authentication - SA-CONTRIB-2026-197EPSS 0.2%CVE-2026-2540HIGHMicca KE700 Acceptance of previously used rolling codesEPSS 0.2%CVE-2022-23725HIGHPingID Windows Login prior to 2.8 does not properly set permissions on the Windows Registry entries used to store sensitive API keys under some circumstancesEPSS 0.2%CVE-2025-59392MEDIUMOn Elspec G5 devices through 1.2.2.19, a person with physical access to the device can reset the Admin password by inserting a USB drive (coEPSS 0.2%CVE-2026-114572MEDIUMDomain Login Restrict - Moderately critical - Access bypass - SA-CONTRIB-2026-249EPSS 0.2%CVE-2023-23503—A logic issue was addressed with improved state management. This issue is fixed in macOS Ventura 13.2, iOS 16.3 and iPadOS 16.3, iOS 15.7.3 EPSS 0.2%CVE-2026-118554MEDIUMOpenID Connect Client - Moderately critical - Improper authentication - SA-CONTRIB-2026-287EPSS 0.2%