Falhas do tipo CWE-306

3.056 resultados

Falta de autenticação em funcionalidades críticas

O software não valida a identidade do usuário antes de executar operações sensíveis ou que consomem recursos significativos (processamento, armazenamento, banda). Qualquer pessoa, autenticada ou não, consegue acessar e usar essas funcionalidades, criando risco de abuso, consumo não autorizado de recursos ou acesso a dados protegidos.

Exemplo

Uma API de relatórios que permite gerar análises pesadas sem verificar credenciais, permitindo um atacante disparar gerações de relatório em loop para derrubar o servidor. Ou um endpoint de backup que qualquer pessoa consegue chamar sem login, expondo dados sensíveis.

Como mitigar

Implemente verificação obrigatória de identidade (autenticação) em toda funcionalidade sensível ou cara computacionalmente. Use controles de sessão, tokens JWT ou OAuth, e combine com autorização (verificar se o usuário autenticado tem permissão específica para aquela ação).

CVE-2026-58115CRITICALA vulnerability has been identified in SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) (All versions < V4.3.4-1 running Industrial OS with NodEPSS 0.9%CVE-2025-6916HIGHTOTOLINK T6 formLoginAuth.htm Form_Login missing authenticationEPSS 0.9%CVE-2026-48050HIGHArc: Unauthenticated access to Go debug pprof endpoints leaks runtime state and enables CPU-burn DoSEPSS 0.9%CVE-2026-75854CRITICALArcadeDB Redis Wire-Protocol Plugin Missing AuthenticationEPSS 0.9%CVE-2023-28697CRITICALMoxa MiiNePort E1 - Broken Access ControlEPSS 0.9%CVE-2020-14479MEDIUMICSA-20-147-01 Inductive Automation Ignition (Update B)EPSS 0.9%CVE-2023-38028CRITICALSaho ADM100&ADM-100FP - Broken Access ControlEPSS 0.9%CVE-2026-31882HIGHDagu SSE Authentication Bypass in Basic Auth ModeEPSS 0.9%CVE-2026-23751CRITICALKofax Capture 6.0.0.0 Unauthenticated File Read/Write & SMB Coercion via .NET RemotingEPSS 0.9%CVE-2024-21619MEDIUMJunos OS: SRX Series and EX Series: J-Web - unauthenticated access to temporary files containing sensitive informationEPSS 0.9%CVE-2026-25550CRITICALSeagull Software BarTender Unauthenticated RCE via .NET Remoting ServiceEPSS 0.9%CVE-2022-4018MEDIUMMissing Authentication for Critical Function in ikus060/rdiffwebEPSS 0.9%CVE-2023-27980HIGHA CWE-306: Missing Authentication for Critical Function vulnerability exists in the Data Server TCP interface that could allow the creation EPSS 0.9%CVE-2026-6847CRITICALUnauthenticated Remote Code Execution in ThemisNETPanelEPSS 0.9%CVE-2023-26575HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%CVE-2022-45498HIGHAn issue in the component tpi_systool_handle(0) (/goform/SysToolReboot) of Tenda W6-S v1.0.0.4(510) allows unauthenticated attackers to arbiEPSS 0.9%CVE-2026-8505CRITICALAuthentication Bypass in Webhook Endpoints Allowed Unauthorized Flow ExecutionEPSS 0.9%CVE-2023-26574HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%CVE-2023-27377HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%CVE-2023-26576HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%