Falhas do tipo CWE-639

3.175 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2026-17527HIGHVirt-cdi-operator: containerized-data-importer: cdi.kubevirt.io:view aggregated clusterrole grants create on datavolumes/source, allowing unauthorized pvc cloneEPSS 0.6%CVE-2023-45892HIGHAn issue discovered in the Order and Invoice pages in Floorsight Insights Q3 2023 allows an unauthenticated remote attacker to view sensitivEPSS 0.6%CVE-2023-45893HIGHAn indirect Object Reference (IDOR) in the Order and Invoice pages in Floorsight Customer Portal Q3 2023 allows an unauthenticated remote atEPSS 0.6%CVE-2023-0689MEDIUMMetform Elementor Contact Form Builder <= 3.3.1 - Authenticated (Subscriber+) Information Disclosure via 'mf_first_name' shortcodeEPSS 0.6%CVE-2026-93399CRITICALOnline Scheduling and Appointment Booking System <= 28.2 - Insecure Direct Object Reference to Unauthenticated Arbitrary Booking Token Disclosure and Deletion via 'order_id' ParameterEPSS 0.6%CVE-2026-20342HIGHCisco Secure Firewall Management Center Software Low Privileged Arbitrary File Download VulnerabilityEPSS 0.6%CVE-2026-51924HIGHAn issue in docuForm GmbH Client v.11.11c allows a remote attacker to execute arbitrary code via the file upload and report.php componentEPSS 0.6%CVE-2023-35914HIGHWordPress WooCommerce Subscriptions Plugin <= 5.1.2 is vulnerable to Insecure Direct Object References (IDOR)EPSS 0.6%CVE-2026-69250HIGHFlowise: Unauthenticated OAuth2 Refresh Enables Non-Blind SSRF and Secret ExfiltrationEPSS 0.6%CVE-2026-24178CRITICALNVIDIA NVFlare Dashboard contains a vulnerability in the user management and authentication system where an unauthenticated attacker may cauEPSS 0.6%CVE-2026-85381MEDIUMlight0011 cms Chapter Controller ChapterController.class.php authorizationEPSS 0.6%CVE-2026-86183MEDIUMdiem-project diem dmWidget BasedmWidgetActions.class.php authorizationEPSS 0.6%CVE-2026-90517MEDIUMPHPGurukul Bank Locker Management System view-assign-locker.php authorizationEPSS 0.6%CVE-2026-54671HIGHWeGIA: Authorization Bypass via Empty Resource Array in InternoControleEPSS 0.6%CVE-2025-31833MEDIUMWordPress JobBoard Job listing plugin Plugin <= 1.2.8 - Insecure Direct Object References (IDOR) vulnerabilityEPSS 0.6%CVE-2024-11137HIGHIDOR Vulnerability in PATCH `/v1/runs/:id/score` Endpoint in lunary-ai/lunaryEPSS 0.6%CVE-2024-2538MEDIUMPermalink Manager <= 2.4.3.1 - Missing Authorization to Authenticated(Author+) Arbitrary Post Slug ModificationEPSS 0.6%CVE-2022-3413MEDIUMIncorrect authorization during display of Audit Events in GitLab EE affecting all versions from 14.5 prior to 15.3.5, 15.4 prior to 15.4.4, EPSS 0.6%CVE-2023-6523HIGHIDOR in ExtremePacs's Extreme XDSEPSS 0.6%CVE-2023-6515HIGHIDOR in Mia Technology's Mia-MedEPSS 0.6%