Falhas do tipo CWE-425

137 resultados

Validação inadequada de autorização em URLs e recursos restritos

A aplicação web falha em verificar se o usuário tem permissão para acessar URLs, scripts ou arquivos antes de entregá-los. Mesmo que o recurso seja 'restrito', qualquer usuário autenticado — ou até anônimo — consegue acessá-lo se souber a URL correta, contornando controles de acesso.

Exemplo

Um e-commerce permite que clientes logados acessem `/admin/relatorios/vendas` apenas mudando a URL no navegador, sem checagem real de permissão. Um usuário comum acessa dados financeiros ou relatórios confidenciais que deveriam estar bloqueados para ele.

Como mitigar

Implemente verificação de autorização em cada rota ou endpoint — não confie apenas em ocultação de links. Use um padrão consistente (ex: middleware de autorização) que valida o nível de permissão do usuário antes de servir qualquer recurso restrito. Sempre verifique permissões no servidor, nunca confie em controles apenas do lado do cliente.

CVE-2026-34051MEDIUMOpenEMR has Improper ACL On Import/Export PopupEPSS 0.2%CVE-2025-62778LOWFrappe Learning allowed students to access the Quiz Form via direct URLEPSS 0.2%CVE-2026-8205MEDIUMConcrete CMS 9.5.0 and below is vulnerable to authorization bypass in Calendar Block since action_get_events does not check canView on the calendarEPSS 0.2%CVE-2026-21760MEDIUMUnauthorized Access to Admin Functionality via Forced BrowsingEPSS 0.2%CVE-2026-32867MEDIUMOPEXUS eComplaint unauthenticated file uploadEPSS 0.2%CVE-2026-102584MEDIUMMoodle: missing capability check allows unauthorised grade penalty recalculationEPSS 0.2%CVE-2026-102582LOWMoodle: manual enrolment page accessible when plugin disabledEPSS 0.2%CVE-2025-65011HIGHUnauthorized Access to files in WODESYS WD-R608U routerEPSS 0.2%CVE-2026-100168—Apache OFBiz: Missing Authorization vulnerabilityEPSS 0.2%CVE-2026-114235—Apache OFBiz: Direct Request in Order Manager Enables Unauthorized Tracking Number ModificationEPSS 0.2%CVE-2026-109856—Apache OFBiz: Missing Authorization in Financial Account Services Enables Unauthorized Balance ManipulationEPSS 0.2%CVE-2025-15587HIGHCredentials exposure in tinycontrol devicesEPSS 0.2%CVE-2024-58343MEDIUMVision Helpdesk before 5.7.0 (patched in 5.6.10) allows attackers to read user profiles via modified serialized cookie data to vis_client_idEPSS 0.2%CVE-2026-105046MEDIUMKentico Xperience 13 before 13.0.216 lacks object-level authorization checks for administration API endpoints.EPSS 0.2%CVE-2026-105461—Apache OFBiz: Missing authorization in updateOrderItems allows view-only users to modify order prices and quantitiesEPSS 0.1%CVE-2026-105325—Apache OFBiz: Missing authorization in payment application services allows view-only users to modify payment allocationsEPSS 0.1%CVE-2025-31971MEDIUMAIML Solutions for HCL SX is susceptible to a URL validation vulnerabilityEPSS 0.1%