Falhas do tipo CWE-306

3.056 resultados

Falta de autenticação em funcionalidades críticas

O software não valida a identidade do usuário antes de executar operações sensíveis ou que consomem recursos significativos (processamento, armazenamento, banda). Qualquer pessoa, autenticada ou não, consegue acessar e usar essas funcionalidades, criando risco de abuso, consumo não autorizado de recursos ou acesso a dados protegidos.

Exemplo

Uma API de relatórios que permite gerar análises pesadas sem verificar credenciais, permitindo um atacante disparar gerações de relatório em loop para derrubar o servidor. Ou um endpoint de backup que qualquer pessoa consegue chamar sem login, expondo dados sensíveis.

Como mitigar

Implemente verificação obrigatória de identidade (autenticação) em toda funcionalidade sensível ou cara computacionalmente. Use controles de sessão, tokens JWT ou OAuth, e combine com autorização (verificar se o usuário autenticado tem permissão específica para aquela ação).

CVE-2025-53378HIGHA missing authentication vulnerability in Trend Micro Worry-Free Business Security Services (WFBSS) agent could have allowed an unauthenticaEPSS 0.8%CVE-2022-30229HIGHA vulnerability has been identified in SICAM GridEdge (Classic) (All versions < V2.6.6). The affected application does not require authenticEPSS 0.8%CVE-2026-59178CRITICALESPHome Device Builder: Renamed auth env vars silently disable dashboard authentication on upgradeEPSS 0.8%CVE-2026-72920CRITICALSeaweedFS: Unauthenticated filer IAM gRPC service grants S3 administrative controlEPSS 0.8%CVE-2024-10205CRITICALAuthorization bypass vulnerability in Hitachi Infrastructure Analytics Advisor and Hitachi Ops Center AnalyzerEPSS 0.8%CVE-2026-82277CRITICALArgo Rollouts Dashboard Unauthenticated Mutating OperationsEPSS 0.8%CVE-2011-4190MEDIUMMissing verification of host key for kdump serverEPSS 0.8%CVE-2026-81735CRITICALUI-TARS-desktop @agent-infra MCP Servers Bind Every Interface Without Authentication, Exposing Arbitrary Command ExecutionEPSS 0.8%CVE-2026-50444HIGHWindows Server Update Service (WSUS) Elevation of Privilege VulnerabilityEPSS 0.8%CVE-2026-57969HIGHAzure CycleCloud Elevation of Privilege VulnerabilityEPSS 0.8%CVE-2023-38379—The web interface on the RIGOL MSO5000 digital oscilloscope with firmware 00.01.03.00.03 allows remote attackers to change the admin passworEPSS 0.8%CVE-2026-109437CRITICALCognition < 0.13.0 Unauthenticated RCE via Local Shell BackendEPSS 0.8%CVE-2024-5951HIGHDeep Sea Electronics DSE855 Factory Reset Missing Authentication Denial-of-Service VulnerabilityEPSS 0.8%CVE-2026-0778HIGHEnel X JuiceBox 40 Telnet Service Missing Authentication Remote Code Execution VulnerabilityEPSS 0.8%CVE-2022-41688CRITICAL Delta Electronics InfraSuite Device Master versions 00.00.01a and prior lack proper authentication for functions that create and modify useEPSS 0.8%CVE-2024-47138CRITICALmySCADA myPRO Missing Authentication for Critical FunctionEPSS 0.8%CVE-2026-77915CRITICALrConfig Core 8.0.0 < 8.2.10 Unauthorized Admin Registration via web.phpEPSS 0.8%CVE-2025-9574CRITICALMissing Authentication VulnerabilityEPSS 0.8%CVE-2026-54103CRITICALU.S. GAO EPDS and CBCA EDS unauthenticated password changeEPSS 0.8%CVE-2026-9336MEDIUMIBM WebSphere Application Server prior to 9.0.5.29 and 8.5.5.31 are affected by multiple vulnerabilitiesEPSS 0.8%