Falhas do tipo CWE-306

3.056 resultados

Falta de autenticação em funcionalidades críticas

O software não valida a identidade do usuário antes de executar operações sensíveis ou que consomem recursos significativos (processamento, armazenamento, banda). Qualquer pessoa, autenticada ou não, consegue acessar e usar essas funcionalidades, criando risco de abuso, consumo não autorizado de recursos ou acesso a dados protegidos.

Exemplo

Uma API de relatórios que permite gerar análises pesadas sem verificar credenciais, permitindo um atacante disparar gerações de relatório em loop para derrubar o servidor. Ou um endpoint de backup que qualquer pessoa consegue chamar sem login, expondo dados sensíveis.

Como mitigar

Implemente verificação obrigatória de identidade (autenticação) em toda funcionalidade sensível ou cara computacionalmente. Use controles de sessão, tokens JWT ou OAuth, e combine com autorização (verificar se o usuário autenticado tem permissão específica para aquela ação).

CVE-2023-26574HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%CVE-2023-27377HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%CVE-2023-27375HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%CVE-2023-26570HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.9%CVE-2023-22069CRITICALVulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Core). Supported versions that are affected areEPSS 0.9%CVE-2022-22526CRITICALMissing authentication for API in Carlo Gavazzi UWP 3.0 Car Park ServerEPSS 0.9%CVE-2026-49827CRITICALWebErpMesv2 has Unauthenticated RCE via Unrestricted File Upload in HR Expense scan_file (CWE-434)EPSS 0.9%CVE-2025-9971CRITICALPlanet Technology｜Industrial Cellular Gateway - Missing AuthenticationEPSS 0.9%CVE-2025-69425CRITICALRuckus vRIoT IoT Controller < 3.0.0.0 Hardcoded Tokens RCEEPSS 0.9%CVE-2022-29879MEDIUMA vulnerability has been identified in SICAM T (All versions < V3.0). The web based management interface of affected devices does not employEPSS 0.9%CVE-2026-67593CRITICALApache Artemis, Apache Artemis, Apache ActiveMQ Artemis, Apache ActiveMQ Artemis: Pre-authentication Openwire protocol handling can result in queue deletionEPSS 0.9%CVE-2026-32211CRITICALAzure MCP Server Information Disclosure VulnerabilityEPSS 0.9%CVE-2026-71878CRITICALAuthentication bypass in Integrated Publishing ToolkitEPSS 0.9%CVE-2026-86543CRITICALknowns before 0.30.0 Unauthenticated Management API ExposureEPSS 0.9%CVE-2025-26361CRITICALA CWE-306 "Missing Authentication for Critical Function" in maxprofile/setup/routes.lua in Q-Free MaxTime less than or equal to version 2.11EPSS 0.9%CVE-2022-41644HIGH Delta Electronics InfraSuite Device Master versions 00.00.01a and prior lacks authentication for a function that changes group privilegesEPSS 0.9%CVE-2021-22805—A CWE-306: Missing Authentication for Critical Function vulnerability exists that could cause deletion of arbitrary files in the context of EPSS 0.9%CVE-2025-1907CRITICALInstantel Micromate Missing Authentication for Critical FunctionEPSS 0.8%CVE-2022-46732CRITICALCVE-2022-46732EPSS 0.8%CVE-2026-67594CRITICALSpikster Missing Authentication via API Route GroupEPSS 0.8%