Falhas do tipo CWE-306

3.056 resultados

Falta de autenticação em funcionalidades críticas

O software não valida a identidade do usuário antes de executar operações sensíveis ou que consomem recursos significativos (processamento, armazenamento, banda). Qualquer pessoa, autenticada ou não, consegue acessar e usar essas funcionalidades, criando risco de abuso, consumo não autorizado de recursos ou acesso a dados protegidos.

Exemplo

Uma API de relatórios que permite gerar análises pesadas sem verificar credenciais, permitindo um atacante disparar gerações de relatório em loop para derrubar o servidor. Ou um endpoint de backup que qualquer pessoa consegue chamar sem login, expondo dados sensíveis.

Como mitigar

Implemente verificação obrigatória de identidade (autenticação) em toda funcionalidade sensível ou cara computacionalmente. Use controles de sessão, tokens JWT ou OAuth, e combine com autorização (verificar se o usuário autenticado tem permissão específica para aquela ação).

CVE-2022-47377CRITICALPassword recovery vulnerability in SICK SIM2000ST Partnumber 2086502 with firmware version <1.13.4 allows an unprivileged remote attacker toEPSS 0.9%CVE-2026-64921HIGHMicrosoft SharePoint Server Elevation of Privilege VulnerabilityEPSS 0.9%CVE-2021-32659MEDIUMAutomatic room upgrade handling can be used maliciously to bridge a room non-consentuallyEPSS 0.9%CVE-2024-38643CRITICALNotes Station 3EPSS 0.9%CVE-2024-8751HIGHCVE-2024-8751EPSS 0.9%CVE-2023-40545HIGHPingFederate OAuth client_secret_jwt Authentication BypassEPSS 0.9%CVE-2023-30604CRITICALHitron Technologies Inc. CODA-5310 - Broken Access ControlEPSS 0.9%CVE-2025-26359CRITICALA CWE-306 "Missing Authentication for Critical Function" in maxprofile/accounts/routes.lua in Q-Free MaxTime less than or equal to version 2EPSS 0.9%CVE-2023-53774MEDIUMMiniDVBLinux 5.4 Simple VideoDiskRecorder Protocol Remote Code ExecutionEPSS 0.9%CVE-2026-66047CRITICALProfilePress WordPress Plugin < 4.17.2 Unauthenticated Arbitrary Plugin Installation RCEEPSS 0.9%CVE-2025-35050CRITICALNewforma Info Exchange (NIX) .NET unauthenticated deserializationEPSS 0.9%CVE-2025-20358CRITICALCisco Unified Contact Center Express Editor Authentication Bypass VulnerabilityEPSS 0.9%CVE-2023-20857MEDIUMVMware Workspace ONE Content contains a passcode bypass vulnerability. A malicious actor, with access to a users rooted device, may be able EPSS 0.9%CVE-2024-2076MEDIUMCodeAstro House Rental Management System tenant.php missing authenticationEPSS 0.9%CVE-2026-16242CRITICALHypershift: konnectivity proxy-server accepts agent connections without validating client certificatesEPSS 0.9%CVE-2026-26340HIGHTattile Smart+ / Vega / Basic <= 1.181.5 Unauthenticated RTSP Stream DisclosureEPSS 0.9%CVE-2023-4506LOWActive Directory Integration / LDAP Integration <= 4.1.10 - LDAP PassbackEPSS 0.9%CVE-2023-4505LOWStaff / Employee Business Directory for Active Directory <= 1.2.3 - Authenticated (Admin+) LDAP PassbackEPSS 0.9%CVE-2026-13249CRITICALUnauthenticated RCE Arbitrary File Upload Honeywell PD45 Industrial Printer version F10.19.010040EPSS 0.9%CVE-2016-6540—TrackR Bravo is missing authentication for the cloud service and allows querying or sending of GPS data from unauthenticated usersEPSS 0.9%