Falhas do tipo CWE-639

3.175 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2022-4812HIGHAuthorization Bypass Through User-Controlled Key in usememos/memosEPSS 0.6%CVE-2026-115748HIGHApache Vysper: Authorization bypassEPSS 0.6%CVE-2026-77776CRITICALHeadroom Proxy Treats the Client-Supplied x-headroom-user-id Header as an Authenticated IdentityEPSS 0.6%CVE-2026-72543HIGHOpenSignLabs OpenSign - Insecure Direct Object ReferenceEPSS 0.6%CVE-2023-1889MEDIUMDirectorist <= 7.5.4 - Authenticated (Subscriber+) Insecure Direct Object Reference to Arbitrary Post Deletion in listing_taskEPSS 0.6%CVE-2025-27507CRITICALIDOR Vulnerabilities in ZITADEL's Admin API that Primarily Impact LDAP ConfigurationsEPSS 0.6%CVE-2025-31945MEDIUMGrowatt Cloud portal Authorization Bypass Through User-Controlled KeyEPSS 0.6%CVE-2025-27719MEDIUMGrowatt Cloud portal Authorization Bypass Through User-Controlled KeyEPSS 0.6%CVE-2022-4802CRITICALAuthorization Bypass Through User-Controlled Key in usememos/memosEPSS 0.6%CVE-2023-48304MEDIUMNextcloud Server vulnerable to attacker enabling/disabling birthday calendar for any userEPSS 0.6%CVE-2026-56422CRITICALMISP Core: Mass Assignment and Object Re-ownership via Unvalidated Request FieldsEPSS 0.6%CVE-2024-8292CRITICALWP-Recall – Registration, Profile, Commerce & More <= 16.26.8 - Insecure Direct Object Reference to Unauthenticated Arbitrary Password UpdateEPSS 0.6%CVE-2024-8290HIGHWCFM – Frontend Manager for WooCommerce along with Bookings Subscription Listings Compatible <= 6.7.12 - Insecure Direct Object Reference to Account Takeover/Privilege EscalationEPSS 0.6%CVE-2025-8755MEDIUMmacrozheng mall com.macro.mall.portal.controller UmsMemberController.java detail authorizationEPSS 0.6%CVE-2024-9862CRITICALMiniorange OTP Verification with Firebase <= 3.6.0 - Unauthenticated Arbitrary User Password ChangeEPSS 0.6%CVE-2022-4811HIGHAuthorization Bypass Through User-Controlled Key in usememos/memosEPSS 0.6%CVE-2024-25983LOWMsa-24-0006: idor on dashboard comments blockEPSS 0.6%CVE-2026-49296MEDIUMApache Airflow: Per-DAG read bypass discloses co-located DAGs' source via GET /api/v2/dagSources/{dag_id}EPSS 0.6%CVE-2026-77439HIGHImmich: Album Editor can escalate to Owner role and remove Owner-role members via unguarded API endpointsEPSS 0.6%CVE-2024-8613HIGHImproper Access Control in gaizhenbiao/chuanhuchatgptEPSS 0.6%