Falhas do tipo CWE-306

3.055 resultados

Falta de autenticação em funcionalidades críticas

O software não valida a identidade do usuário antes de executar operações sensíveis ou que consomem recursos significativos (processamento, armazenamento, banda). Qualquer pessoa, autenticada ou não, consegue acessar e usar essas funcionalidades, criando risco de abuso, consumo não autorizado de recursos ou acesso a dados protegidos.

Exemplo

Uma API de relatórios que permite gerar análises pesadas sem verificar credenciais, permitindo um atacante disparar gerações de relatório em loop para derrubar o servidor. Ou um endpoint de backup que qualquer pessoa consegue chamar sem login, expondo dados sensíveis.

Como mitigar

Implemente verificação obrigatória de identidade (autenticação) em toda funcionalidade sensível ou cara computacionalmente. Use controles de sessão, tokens JWT ou OAuth, e combine com autorização (verificar se o usuário autenticado tem permissão específica para aquela ação).

CVE-2023-34329CRITICALAuthentication Bypass via HTTP Header SpoofingEPSS 1.2%CVE-2025-21623HIGHClipBucket V5 Unauthenticated Template Directory Update to Denial-of-ServiceEPSS 1.2%CVE-2026-23746CRITICALEntrust Instant Financial Issuance (IFI) SmartCardController Service .NET Remoting RCEEPSS 1.2%CVE-2026-42569CRITICALphpvms: /importer authorization bypass causing full database wipeEPSS 1.2%CVE-2023-23444HIGHMissing Authentication for Critical Function in SICK Flexi Classic and Flexi Soft Gateways with Partnumbers 1042193, 1042964, 1044078, 10440EPSS 1.2%CVE-2022-28771—Due to missing authentication check, SAP Business one License service API - version 10.0 allows an unauthenticated attacker to send maliciouEPSS 1.2%CVE-2024-6592CRITICALWatchGuard Firebox Single Sign-On Agent Protocol Authorization BypassEPSS 1.2%CVE-2026-26125HIGHPayment Orchestrator Service Elevation of Privilege VulnerabilityEPSS 1.2%CVE-2023-38123HIGHInductive Automation Ignition OPC UA Quick Client Missing Authentication for Critical Function Authentication Bypass VulnerabilityEPSS 1.2%CVE-2025-32896MEDIUMApache SeaTunnel: Unauthenticated insecure accessEPSS 1.2%CVE-2023-21743MEDIUMMicrosoft SharePoint Server Security Feature Bypass VulnerabilityEPSS 1.2%CVE-2021-33008HIGHAVEVA System Platform Missing Authentication for Critical FunctionEPSS 1.2%CVE-2023-49693CRITICALNETGEAR ProSAFE Network Management System RCE via Unprotected Access to Java Debug Wire ProtocolEPSS 1.2%CVE-2026-86681HIGHBroken Access Control vulnerabilityEPSS 1.2%CVE-2020-3376HIGHCisco Data Center Network Manager Authentication Bypass VulnerabilityEPSS 1.2%CVE-2026-11429CRITICALPath Traversal in Altium Vault ScriptsController Allows Unauthenticated Remote Code ExecutionEPSS 1.1%CVE-2023-4699CRITICALArbitrary Command Execution Vulnerability in Mitsubishi Electric proprietary protocol communication of multiple FA productsEPSS 1.1%CVE-2025-34215CRITICALVasion Print (formerly PrinterLogic) Unauthenticated Firmware Update Endpoint RCEEPSS 1.1%CVE-2018-14796—Tec4Data SmartCooler, all versions prior to firmware 180806, the device responds to a remote unauthenticated reboot command that may be usedEPSS 1.1%CVE-2020-10605—Grundfos CIM 500 before v06.16.00 responds to unauthenticated requests for password storage files.EPSS 1.1%