Falhas do tipo CWE-639

3.175 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2024-23747HIGHThe Moderna Sistemas ModernaNet Hospital Management System 2024 is susceptible to an Insecure Direct Object Reference (IDOR) vulnerability. EPSS 0.7%CVE-2023-32078HIGHNetmaker IDOR Vulnerability Allows User to Update Other User's PasswordEPSS 0.7%CVE-2024-10121MEDIUMwfh45678 Radar Interface authorizationEPSS 0.7%CVE-2025-34140HIGHETQ Reliance CG/NXG API Authorization Bypass via ;localized-text URI SuffixEPSS 0.7%CVE-2026-85607HIGHBlinko 1.8.7 Cross-User AI Conversation Read and Write via message tRPC RouterEPSS 0.7%CVE-2026-33425MEDIUMDiscourse has inferable private group membership or existence via exclude_groups parameterEPSS 0.7%CVE-2026-5234MEDIUMLatePoint <= 5.3.2 - Insecure Direct Object Reference to Unauthenticated Sensitive Financial Data Exposure via Sequential Invoice IDEPSS 0.7%CVE-2026-47156CRITICALMantisBT: SOAP API Authentication Bypass with Privilege Escalation to AdministratorEPSS 0.7%CVE-2023-53914CRITICALUliCMS 2023.1 Authentication Bypass via Mass Assignment VulnerabilityEPSS 0.7%CVE-2024-10215CRITICALWPBookit <= 1.6.4 - Unauthenticated Arbitrary User Password ChangeEPSS 0.7%CVE-2024-1075LOWMinimal Coming Soon – Coming Soon Page <= 2.37 - Unauthenticated Maintenance Mode BypassEPSS 0.7%CVE-2026-84148CRITICALInsecure Direct Object Reference Vulnerability in Manacle Technologies ERP SystemEPSS 0.7%CVE-2023-1462HIGHIDOR in DigikentEPSS 0.7%CVE-2023-2702HIGHIDOR in Finex Media's Competition Management SystemEPSS 0.7%CVE-2023-2883HIGHIDOR in CBOT's ChatbotEPSS 0.7%CVE-2022-3794MEDIUMJeg Elementor Kit <= 2.5.6 - Authorization BypassEPSS 0.7%CVE-2026-51923HIGHAn Insecure Direct Object Reference (IDOR) vulnerability exists in docuForm GmbH Client v.11.11c allowing a remote attacker to execute arbitEPSS 0.7%CVE-2024-22206CRITICAL@clerk/nextjs auth() and getAuth() methods vulnerable to insecure direct object reference (IDOR)EPSS 0.7%CVE-2026-13358MEDIUMAppointment Booking Calendar — Simply Schedule Appointments Booking Plugin <= 1.6.12.10 - Authenticated (Contributor+) Insecure Direct Object Reference to Sensitive Information ExposureEPSS 0.7%CVE-2026-68500HIGHSylius Mollie Plugin: Payment status forgery via the payment webhookEPSS 0.7%