Falhas do tipo CWE-288

746 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2026-4700CRITICALMitigation bypass in the Networking: HTTP componentEPSS 0.9%CVE-2025-27658CRITICALVasion Print (formerly PrinterLogic) before Virtual Appliance Host 22.0.843 Application 20.0.1923 allows Authentication Bypass OVE-20230524-EPSS 0.9%CVE-2024-4186CRITICALEdwiser Bridge <= 3.0.5 - Authentication Bypass due to Missing Empty Value CheckEPSS 0.9%CVE-2022-36093HIGHXWiki Platform Web Templates vulnerable to Unauthorized User Registration Through the Distribution WizardEPSS 0.9%CVE-2021-31559HIGHS2S TcpToken authentication bypassEPSS 0.9%CVE-2026-18574CRITICALAuthentication Bypass in Check Point Security Management ServerEPSS 0.9%CVE-2026-24254CRITICALNVIDIA Dynamo for Linux contains a vulnerability in the multimodal serving topology, where an attacker could cause an out-of-bounds write. AEPSS 0.9%CVE-2026-15014CRITICALSMS Alert <= 3.9.7 - Unauthenticated Authentication Bypass to Account Takeover via 'billing_phone' ParameterEPSS 0.9%CVE-2022-1067MEDIUMICSMA-22-095-01 LifePoint Informatics Patient PortalEPSS 0.9%CVE-2022-23723HIGHPingFederate PingOneMFA Integration Kit MFA BypassEPSS 0.9%CVE-2023-42770CRITICALRed Lion Controls Sixnet RTU Authentication Bypass Using An Alternative Path Or ChannelEPSS 0.9%CVE-2025-23217HIGHMitmweb API Authentication Bypass Using Proxy ServerEPSS 0.9%CVE-2024-10381CRITICALAuthentication Bypass Vulnerability in Matrix Door ControllerEPSS 0.9%CVE-2026-62916CRITICALMicrosoft Entra ID Elevation of Privilege VulnerabilityEPSS 0.9%CVE-2026-71879CRITICALAuthentication bypass in Integrated Publishing ToolkitEPSS 0.9%CVE-2025-59367CRITICALAn authentication bypass vulnerability has been identified in certain DSL series routers, may allow remote attackers to gain unauthorized acEPSS 0.9%CVE-2023-6718CRITICALAuthentication Bypass Using an Alternate Path or Channel in RepoxEPSS 0.9%CVE-2025-0159CRITICALIBM FlashSystem authentication bypassEPSS 0.9%CVE-2026-45109HIGHNext.js: Middleware / Proxy bypass in App Router applications via segment-prefetch routesEPSS 0.9%CVE-2026-107656CRITICALAn authentication bypass using an alternate path or channel vulnerability in Fortinet FortiSandbox 5.0.0 through 5.0.6, FortiSandbox 4.4.0 tEPSS 0.9%