Falhas do tipo CWE-639

3.175 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2023-2190MEDIUMAuthorization Bypass Through User-Controlled Key in GitLabEPSS 0.7%CVE-2026-16142CRITICALTrueBooker <= 1.2.6 - Unauthenticated Account Takeover via Insecure Direct Object Reference in 'truebooker_wp_user_id' ParameterEPSS 0.7%CVE-2022-2828MEDIUMIn affected versions of Octopus Server it is possible to reveal information about teams via the API due to an Insecure Direct Object ReferenEPSS 0.7%CVE-2025-53640MEDIUMIndico vulnerable to user enumeration via API endpointEPSS 0.7%CVE-2024-4537HIGHIDOR vulnerability in Janto Ticketing SoftwareEPSS 0.7%CVE-2025-24315MEDIUMGrowatt Cloud portal Authorization Bypass Through User-Controlled KeyEPSS 0.7%CVE-2023-0694MEDIUMMetform Elementor Contact Form Builder <= 3.3.1 - Authenticated (Subscriber+) Information Disclosure via mf shortcodeEPSS 0.7%CVE-2022-42129MEDIUMAn Insecure direct object reference (IDOR) vulnerability in the Dynamic Data Mapping module in Liferay Portal 7.3.2 through 7.4.3.4, and LifEPSS 0.7%CVE-2023-0693MEDIUMMetform Elementor Contact Form Builder <= 3.3.1 - Authenticated (Subscriber+) Information Disclosure via 'mf_transaction_id' shortcodeEPSS 0.7%CVE-2023-51141MEDIUMAn issue in ZKTeko BioTime v.8.5.4 and before allows a remote attacker to obtain sensitive information via the Authentication & AuthorizatioEPSS 0.7%CVE-2026-59235HIGHMissing authorization in Prospero Flow CRM allows low-privileged users to read all bank accountsEPSS 0.7%CVE-2023-0550HIGHQuick Restaurant Menu <= 2.0.2 - Insecure Direct Object ReferenceEPSS 0.7%CVE-2023-36235MEDIUMAn issue in webkul qloapps before v1.6.0 allows an attacker to obtain sensitive information via the id_order parameter.EPSS 0.7%CVE-2021-24800—DW Question & Answer Pro <= 1.3.4 - Arbitrary Comment Edition via IDOREPSS 0.7%CVE-2025-4796HIGHEventin <= 4.0.34 - Authenticated (Contributor+) Privilege Escalation via User Email Change/Account TakeoverEPSS 0.7%CVE-2022-0442—UsersWP < 1.2.3.1 - Subscriber+ User Avatar OverrideEPSS 0.7%CVE-2025-40805CRITICALAffected devices do not properly enforce user authentication on specific API endpoints. This could facilitate an unauthenticated remote attaEPSS 0.7%CVE-2022-43450MEDIUMWordPress Stream Plugin <= 3.9.2 is vulnerable to Insecure Direct Object References (IDOR)EPSS 0.7%CVE-2023-25403HIGHCleverStupidDog yf-exam v 1.8.0 is vulnerable to Authentication Bypass. The program uses a fixed JWT key, and the stored key uses username fEPSS 0.7%CVE-2022-36284MEDIUMWordPress Affiliate For WooCommerce premium plugin <= 4.7.0 - Authenticated IDOR vulnerability leading to PayPal email changeEPSS 0.7%