Falhas do tipo CWE-639

3.175 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2026-94510CRITICALMicrosoft Bookings Elevation of Privilege VulnerabilityEPSS 0.6%CVE-2026-86261MEDIUMsfturing hosp_order Order Controller OrderController.java authorizationEPSS 0.6%CVE-2026-86262MEDIUMsfturing hosp_order Order OrderController.java updateOrderdiseaseInfo authorizationEPSS 0.6%CVE-2026-55867MEDIUMGraylog token revocation endpoint allows authenticated users to delete other users’ access tokensEPSS 0.6%CVE-2023-35916HIGHWordPress WooCommerce Payments Plugin <= 5.9.0 is vulnerable to Insecure Direct Object References (IDOR)EPSS 0.6%CVE-2026-86263MEDIUMsfturing hosp_order Order Cancellation OrderController.java orderRecordsService.cancelOrder authorizationEPSS 0.6%CVE-2026-79324HIGHMissing authorization in the Address Delete controller in Mageplaza GDPR for Magento 2 (mageplaza/module-gdpr) through 4.2.9 allows remote uEPSS 0.6%CVE-2026-4330MEDIUMBlog2Social: Social Media Auto Post & Scheduler <= 8.8.3 - Authenticated (Subscriber+) Insecure Direct Object Reference to Arbitrary Post Schedule Modification via 'b2s_id' ParameterEPSS 0.6%CVE-2025-2526HIGHStreamit <= 4.0.2 - Authenticated (Subscriber+) Privilege Escalation via User Email Change/Account TakeoverEPSS 0.6%CVE-2026-54178HIGHbackpack/crud: Arbitrary file deletion via attacker-controlled clear_<attr>[] in HasUploadFields::uploadMultipleFilesToDiskEPSS 0.6%CVE-2026-97638HIGHForminator Forms <= 1.57.3.1 - Insecure Direct Object Reference to Unauthenticated Arbitrary Draft Deletion and Takeover via 'previous_draft_id' ParameterEPSS 0.6%CVE-2023-1125MEDIUMRuby Help Desk < 1.3.4 - Subscriber+ Ticket Update via IDOREPSS 0.6%CVE-2026-47704HIGHTypeBot vulnerable to cross-typebot webhook resume via unchecked `resultId` lineage allows unauthorized control of another bot's waiting sessionEPSS 0.6%CVE-2024-11167CRITICALImproper Access Control in danny-avila/librechatEPSS 0.6%CVE-2025-31360MEDIUMGrowatt Cloud portal Authorization Bypass Through User-Controlled KeyEPSS 0.6%CVE-2024-7474CRITICALIDOR in lunary-ai/lunaryEPSS 0.6%CVE-2026-110620MEDIUMFormbricks before 4.9.0 Cross-Organization IDOR in Server Actions via organizationIdEPSS 0.6%CVE-2026-58273HIGHRucio: Authorisation Bypass on REST API endpoint for signing URLsEPSS 0.6%CVE-2026-9180MEDIUMMotoPress Appointment Booking <= 2.4.4 - Unauthenticated Insecure Direct Object Reference to 'payment_details.booking_id' ParameterEPSS 0.6%CVE-2024-4464HIGHAuthorization bypass through user-controlled key vulnerability in streaming service in Synology Media Server before 1.4-2680, 2.0.5-3152 andEPSS 0.6%