Falhas do tipo CWE-306

2.599 resultados

Falta de autenticação em funcionalidades críticas

O software não valida a identidade do usuário antes de executar operações sensíveis ou que consomem recursos significativos (processamento, armazenamento, banda). Qualquer pessoa, autenticada ou não, consegue acessar e usar essas funcionalidades, criando risco de abuso, consumo não autorizado de recursos ou acesso a dados protegidos.

Exemplo

Uma API de relatórios que permite gerar análises pesadas sem verificar credenciais, permitindo um atacante disparar gerações de relatório em loop para derrubar o servidor. Ou um endpoint de backup que qualquer pessoa consegue chamar sem login, expondo dados sensíveis.

Como mitigar

Implemente verificação obrigatória de identidade (autenticação) em toda funcionalidade sensível ou cara computacionalmente. Use controles de sessão, tokens JWT ou OAuth, e combine com autorização (verificar se o usuário autenticado tem permissão específica para aquela ação).

CVE-2026-49973CRITICALHermes WebUI < 0.51.358 Unauthenticated Password Takeover via /api/settingsEPSS 0.7%CVE-2023-53896HIGHD-Link DAP-1325 Hardware A1 Unauthenticated Configuration DownloadEPSS 0.7%CVE-2026-76157HIGHDatiphy Data Management Center - Missing Authentication for Critical FunctionEPSS 0.7%CVE-2026-55640CRITICALNextcloud MCP Server: Unauthenticated `POST /webhooks/nextcloud` allows arbitrary vector data deletion when `WEBHOOK_SECRET` is unset ( default )EPSS 0.7%CVE-2020-10124—NCR SelfServ ATMs running APTRA XFS 05.01.00 do not encrypt, authenticate, or verify the integrity of messages between the BNA and the host EPSS 0.7%CVE-2026-81098CRITICALTelnyx MCP Server through 6.83.0 Missing Authentication on Streamable HTTP TransportEPSS 0.7%CVE-2026-73849CRITICALemlog allows unauthenticated reinstallation via `install.php?action=reinstall`.EPSS 0.7%CVE-2026-53984HIGHGround Station prior to 0.6.0 Unauthenticated Database Wipe and Arbitrary Data Injection via Socket.IO database_backup full_restore ActionEPSS 0.7%CVE-2026-69415MEDIUMWindows DHCP Server Elevation of Privilege VulnerabilityEPSS 0.7%CVE-2025-1701HIGHLocal Privilege Escalation in MIM Admin ServiceEPSS 0.7%CVE-2026-23662HIGHAzure IoT Explorer Information Disclosure VulnerabilityEPSS 0.7%CVE-2023-26573HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.7%CVE-2026-78434MEDIUMFaveo Helpdesk post-ticket-reply Endpoint FormController.php post_ticket_reply missing authenticationEPSS 0.7%CVE-2026-6579MEDIUMliangliangyy DjangoBlog Clean Endpoint views.py missing authenticationEPSS 0.7%CVE-2026-6588MEDIUMserge-chat serge Model API Endpoint model.py delete_model missing authenticationEPSS 0.7%CVE-2026-42074CRITICALOpenClaude: Sandbox Bypass via Model-Controlled `dangerouslyDisableSandbox` InputEPSS 0.7%CVE-2026-79391CRITICALNo authentication exists in the MQTT service of Trueview 6.0.23.4. The MQTT broker accepts client connections on TCP port 1883 without requiEPSS 0.7%CVE-2024-8310CRITICALOPW Fuel Management Systems SiteSentinel Missing Authentication for Critical FunctionEPSS 0.7%CVE-2026-2603HIGHKeycloak: keycloak: unauthorized authentication via disabled saml identity providerEPSS 0.7%CVE-2026-85695CRITICALFastChat Unauthenticated Worker Registration SSRF and Model SpoofingEPSS 0.7%