Falhas do tipo CWE-306

2.602 resultados

Falta de autenticação em funcionalidades críticas

O software não valida a identidade do usuário antes de executar operações sensíveis ou que consomem recursos significativos (processamento, armazenamento, banda). Qualquer pessoa, autenticada ou não, consegue acessar e usar essas funcionalidades, criando risco de abuso, consumo não autorizado de recursos ou acesso a dados protegidos.

Exemplo

Uma API de relatórios que permite gerar análises pesadas sem verificar credenciais, permitindo um atacante disparar gerações de relatório em loop para derrubar o servidor. Ou um endpoint de backup que qualquer pessoa consegue chamar sem login, expondo dados sensíveis.

Como mitigar

Implemente verificação obrigatória de identidade (autenticação) em toda funcionalidade sensível ou cara computacionalmente. Use controles de sessão, tokens JWT ou OAuth, e combine com autorização (verificar se o usuário autenticado tem permissão específica para aquela ação).

CVE-2026-75852CRITICALArcadeDB MongoDB wire protocol authentication bypass cross-databaseEPSS 0.7%CVE-2026-44668CRITICALFaction: Unauthenticated Read, Modify, and Delete of Boilerplate TemplatesEPSS 0.7%CVE-2023-26580HIGHMissing Authentication In IDAttend’s IDWeb ApplicationEPSS 0.7%CVE-2017-20217HIGHServiio PRO 1.8 REST API Information DisclosureEPSS 0.7%CVE-2023-41186MEDIUMD-Link DAP-1325 CGI Missing Authentication Information Disclosure VulnerabilityEPSS 0.7%CVE-2026-31881HIGHRuntipi unauthenticated /api/auth/reset-password allows operator account takeover during active reset windowEPSS 0.7%CVE-2022-43110CRITICALVoltronic Power ViewPower through 1.04-21353 and PowerShield Netguard before 1.04-23292 allows a remote attacker to configure the system viaEPSS 0.7%CVE-2026-90944HIGHKrayin CRM through 2.2.6 Unauthenticated Email Injection via inbound-parseEPSS 0.7%CVE-2023-31143MEDIUMMage terminal user authentication not working properlyEPSS 0.7%CVE-2026-85702MEDIUMramon-victor freegpt-webui Backend Conversation API backend.py _conversation missing authenticationEPSS 0.7%CVE-2025-59097CRITICALUnauthenticated SOAP API in dormakaba access managerEPSS 0.7%CVE-2026-92625HIGHControl iD iDSecure Unauthenticated Denial of ServiceEPSS 0.7%CVE-2023-0906HIGHSourceCodester Online Pizza Ordering System POST Parameter ajax.php delete_category missing authenticationEPSS 0.7%CVE-2026-3893CRITICALCarlson Software VASCO-B GNSS Receiver Missing Authentication for Critical FunctionEPSS 0.7%CVE-2026-55814HIGHApache Ranger: Download APIs expose plugin data without authenticationEPSS 0.7%CVE-2026-46612HIGHFission StorageSvc /v1/archive endpoint exposes unauthenticated CRUD over all function archivesEPSS 0.7%CVE-2026-28814HIGHApache JSPWiki: Pre-Authentication Arbitrary Wiki Markup RenderingEPSS 0.7%CVE-2020-36874HIGHACE SECURITY WIP-90113 Unauthenticated Configuration DisclosureEPSS 0.7%CVE-2021-47936CRITICALOpenCATS 0.9.4 Remote Code Execution via Resume UploadEPSS 0.7%CVE-2026-6582MEDIUMTransformerOptimus SuperAGI Vector Database Management Endpoint vector_dbs.py get_vector_db_details missing authenticationEPSS 0.7%