Falhas do tipo CWE-639

3.175 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2022-40205MEDIUMWordPress wpForo Forum plugin <= 2.0.5 - Insecure direct object references (IDOR) vulnerabilityEPSS 0.6%CVE-2026-69857HIGHAzure Cosmos DB Spoofing VulnerabilityEPSS 0.6%CVE-2026-46585HIGHApache Camel Lucene: The query control headers used non-Camel-prefixed names (QUERY, RETURN_LUCENE_DOCS) that bypass the HTTP header filter, allowing an HTTP client to inject the full-text search queryEPSS 0.6%CVE-2026-17567MEDIUMFluent Forms <= 6.2.8 - Unauthenticated Sensitive Information Exposure via Insecure Direct Object Reference and Weak Transaction Hash in 'transaction' ParameterEPSS 0.6%CVE-2022-3995MEDIUMTeraWallet – For WooCommerce <= 1.4.3 - Insecure Direct Object ReferenceEPSS 0.6%CVE-2025-45968CRITICALAn issue in System PDV v1.0 allows a remote attacker to obtain sensitive information via the hash parameter in a URL. The application contaiEPSS 0.6%CVE-2026-72724MEDIUMDiscourse: Private Chat Threat Message Disclosure via Chat Onebox Channel/Threat ID MismatchEPSS 0.6%CVE-2026-57510HIGHSuperPlane < 0.27.0 Broken Object Level Authorization via CanvasService gRPCEPSS 0.6%CVE-2026-61574HIGHauthentik RAC: access any endpoint via an unrelated applicationEPSS 0.6%CVE-2026-38529HIGHA Broken Object-Level Authorization (BOLA) in the /Settings/UserController.php endpoint of Webkul Krayin CRM v2.2.x allows authenticated attEPSS 0.6%CVE-2026-75103HIGHCrawlab Missing Authorization on Password Change Endpoint Allows Account TakeoverEPSS 0.6%CVE-2024-2472CRITICALLatePoint Plugin <= 4.9.9 - Missing Authorization and Sensitive Information Exposure via IDOREPSS 0.6%CVE-2024-2543MEDIUMPlugin Permalink <= 2.4.3.1 - Missing Authorization via get_uri_editorEPSS 0.6%CVE-2024-40395MEDIUMAn Insecure Direct Object Reference (IDOR) in PTC ThingWorx v9.5.0 allows attackers to view sensitive information, including PII, regardlessEPSS 0.6%CVE-2026-73239MEDIUMApache Allura: Missing permission checks IDOREPSS 0.6%CVE-2025-1607MEDIUMSourceCodester Best Employee Management System salary_slip.php authorizationEPSS 0.6%CVE-2024-0839MEDIUMFeedWordPress <= 2022.0222 - Insecure Direct Object RefereceEPSS 0.6%CVE-2026-28314CRITICALSolarWinds Serv-U Insecure Direct Object Reference (IDOR) VulnerabilityEPSS 0.6%CVE-2018-17455HIGHAn issue was discovered in GitLab Enterprise Edition before 11.1.7, 11.2.x before 11.2.4, and 11.3.x before 11.3.1. Attackers could obtain sEPSS 0.6%CVE-2024-33818HIGHGlobitel KSA SpeechLog v8.1 was discovered to contain an Insecure Direct Object Reference (IDOR) via the userID parameter.EPSS 0.6%