Falhas do tipo CWE-306

3.056 resultados

Falta de autenticação em funcionalidades críticas

O software não valida a identidade do usuário antes de executar operações sensíveis ou que consomem recursos significativos (processamento, armazenamento, banda). Qualquer pessoa, autenticada ou não, consegue acessar e usar essas funcionalidades, criando risco de abuso, consumo não autorizado de recursos ou acesso a dados protegidos.

Exemplo

Uma API de relatórios que permite gerar análises pesadas sem verificar credenciais, permitindo um atacante disparar gerações de relatório em loop para derrubar o servidor. Ou um endpoint de backup que qualquer pessoa consegue chamar sem login, expondo dados sensíveis.

Como mitigar

Implemente verificação obrigatória de identidade (autenticação) em toda funcionalidade sensível ou cara computacionalmente. Use controles de sessão, tokens JWT ou OAuth, e combine com autorização (verificar se o usuário autenticado tem permissão específica para aquela ação).

CVE-2026-89261MEDIUMMoguBlog through 6.2 Missing Authentication for Elasticsearch Index Management EndpointsEPSS 0.8%CVE-2026-70552CRITICALMaxSite CMS 109.5 Unauthenticated AJAX Dispatcher Bypass via ajax.phpEPSS 0.8%CVE-2020-10044—A vulnerability has been identified in SICAM MMU (All versions < V2.05), SICAM SGU (All versions), SICAM T (All versions < V2.18). An attackEPSS 0.8%CVE-2026-82452CRITICALrust-iot-platform Authentication Bypass via Missing Request GuardsEPSS 0.8%CVE-2026-61514CRITICALPuwell IP Camera 2.x - 4.x Unauthenticated Access via TCP Port 23456EPSS 0.8%CVE-2022-20830MEDIUMCisco Software-Defined Application Visibility and Control on Cisco vManage Authentication Bypass VulnerabilityEPSS 0.8%CVE-2023-26580HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.8%CVE-2025-55108CRITICALBMC Control-M/Agent default configuration does not enforce SSL/TLS allowing unauthorized actions and remote code executionEPSS 0.8%CVE-2023-25570HIGHApollo has potential access control security issue in eurekaEPSS 0.8%CVE-2023-43644CRITICALImproper authentication in the SOCKS5 inbound in sing-boxEPSS 0.8%CVE-2023-4815HIGHMissing Authentication for Critical Function in answerdev/answerEPSS 0.8%CVE-2025-5310CRITICALDover Fueling Solutions ProGauge MagLink LX Consoles Missing Authentication for Critical FunctionEPSS 0.8%CVE-2023-38030HIGHSaho ADM100&ADM-100FP - Execute CodeEPSS 0.8%CVE-2026-49362HIGHApache Artemis, Apache ActiveMQ Artemis: Missing Authentication in CORE Protocol Handler Allows Unauthorized Queue CreationEPSS 0.8%CVE-2023-39981HIGHMXsecurity Device Information DisclosureEPSS 0.8%CVE-2026-23662HIGHAzure IoT Explorer Information Disclosure VulnerabilityEPSS 0.8%CVE-2025-21535CRITICALVulnerability in the Oracle WebLogic Server product of Oracle Fusion Middleware (component: Core). Supported versions that are affected areEPSS 0.8%CVE-2026-85424CRITICALMOOS core-moos through 10.4.0 Missing Authentication for MOOSDB Publish, Subscribe and DB_CLEAREPSS 0.8%CVE-2026-85428CRITICALMOOS core-moos through 10.4.0 MOOSDB HTTP Server Unauthenticated Variable WriteEPSS 0.8%CVE-2025-34216CRITICALVasion Print (formerly PrinterLogic) RCE and Password Leaks via APIEPSS 0.8%