Falhas do tipo CWE-288

676 resultados

Controle de acesso inadequado

Ocorre quando o software falha em validar ou aplicar corretamente permissões e autorizações, permitindo que usuários acessem recursos ou executem ações que não deveriam ter permissão. A falha pode estar na autenticação (verificar quem é o usuário), autorização (verificar o que ele pode fazer) ou em ambas, expondo dados sensíveis ou permitindo operações não autorizadas.

Exemplo

Um sistema de gestão de documentos onde a aplicação valida se o usuário está logado, mas não verifica se ele realmente tem permissão para acessar o arquivo solicitado. Um atacante logado consegue alternar o ID do documento na URL e ler ou deletar arquivos de outros usuários.

Como mitigar

Implemente verificações de autorização em todo ponto onde dados sensíveis são acessados ou ações críticas ocorrem — nunca confie apenas no front-end ou em obscuridade de IDs. Use um modelo de controle de acesso bem definido (RBAC, ABAC), validando permissões no servidor antes de retornar dados ou executar operações, e auditando acessos sensíveis.

CVE-2021-31559HIGHS2S TcpToken authentication bypassEPSS 0.9%CVE-2023-42770CRITICALRed Lion Controls Sixnet RTU Authentication Bypass Using An Alternative Path Or ChannelEPSS 0.9%CVE-2024-10381CRITICALAuthentication Bypass Vulnerability in Matrix Door ControllerEPSS 0.9%CVE-2026-2628CRITICALAll-in-One Microsoft 365 & Entra ID / Azure AD SSO Login <= 2.2.5 - Authentication BypassEPSS 0.9%CVE-2025-0159CRITICALIBM FlashSystem authentication bypassEPSS 0.9%CVE-2023-6718CRITICALAuthentication Bypass Using an Alternate Path or Channel in RepoxEPSS 0.9%CVE-2022-36093HIGHXWiki Platform Web Templates vulnerable to Unauthorized User Registration Through the Distribution WizardEPSS 0.9%CVE-2025-59367CRITICALAn authentication bypass vulnerability has been identified in certain DSL series routers, may allow remote attackers to gain unauthorized acEPSS 0.9%CVE-2026-43945HIGHFUXA Vulnerable to Pre-auth RCE via Path Manipulation & Configuration InjectionEPSS 0.8%CVE-2025-23217HIGHMitmweb API Authentication Bypass Using Proxy ServerEPSS 0.8%CVE-2025-32976HIGHQuest KACE Systems Management Appliance (SMA) 13.0.x before 13.0.385, 13.1.x before 13.1.81, 13.2.x before 13.2.183, 14.0.x before 14.0.341 EPSS 0.8%CVE-2020-1637HIGHJunos OS: SRX Series: Unified Access Control (UAC) bypass vulnerabilityEPSS 0.8%CVE-2023-4702CRITICALAuthentication Bypass in Digital YepasEPSS 0.8%CVE-2024-56044CRITICALWordPress WPLMS plugin <= 1.9.9 - Unauthenticated Arbitrary User Token Generation vulnerabilityEPSS 0.8%CVE-2024-9488CRITICALComments – wpDiscuz <= 7.6.24 - Authentication Bypass via WordPress.com OAuth providerEPSS 0.8%CVE-2024-5150CRITICALLogin with phone number <= 1.7.26 - Authentication Bypass due to Missing Empty Value CheckEPSS 0.8%CVE-2019-25763CRITICALWordPress Ultimate Addons for Beaver Builder 1.2.4.1 Authentication BypassEPSS 0.8%CVE-2024-4393CRITICALSocial Connect <= 1.2 - Authentication BypassEPSS 0.8%CVE-2025-10294CRITICALOwnID Passwordless Login <= 1.3.4 - Authentication BypassEPSS 0.8%CVE-2021-41995HIGHPingID Mac Login prior to 1.1 vulnerable to pre-computed dictionary attacksEPSS 0.8%