Falhas do tipo CWE-639

2.363 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2026-6072MEDIUMOliver POS <= 2.4.2.6 - Unauthenticated Authorization Bypass Through User-Controlled Key to 'OliverAuth' HeaderEPSS 0.5%CVE-2026-82685HIGHConfirmation token accepted on any record in AshAuthenticationEPSS 0.5%CVE-2026-61836HIGHDirectus: Authorization-dependent response served from unsegmented cache keyEPSS 0.5%CVE-2020-37008HIGHEasyPMS 1.0.0 - Authentication BypassEPSS 0.5%CVE-2023-3998MEDIUMwpDiscuz <= 7.6.3 - Insecure Direct Object Reference to Post Rating Increase/DecreaseEPSS 0.5%CVE-2023-3869MEDIUMwpDiscuz <= 7.6.3 - Insecure Direct Object Reference to Comment Rating Increase/DecreaseEPSS 0.5%CVE-2023-23679MEDIUMWordPress JS Help Desk – Best Help Desk & Support Plugin Plugin <= 2.7.7 is vulnerable to Insecure Direct Object References (IDOR)EPSS 0.5%CVE-2024-13040HIGHQuanta Computer QOCA aim - Authorization BypassEPSS 0.5%CVE-2024-1107CRITICALIDOR in Talya Informatics' Travel APPSEPSS 0.5%CVE-2026-11987MEDIUMDokan: AI Powered WooCommerce Multivendor Marketplace Solution <= 5.0.4 - Authenticated (Subscriber+) Insecure Direct Object Reference to Information Disclosure via 'id' ParameterEPSS 0.5%CVE-2026-41878HIGHInsecure Direct Object Reference in R-SOFT DMSEPSS 0.5%CVE-2024-10796MEDIUMIf-So Dynamic Content Personalization <= 1.9.2.1 - Authenticated (Contributor+) Post DisclosureEPSS 0.5%CVE-2026-56230HIGHCapgo - Broken Object Level Authorization via x-limited-key-id HeaderEPSS 0.5%CVE-2023-6983MEDIUMDisplay custom fields in the frontend – Post and User Profile Fields <= 1.2.1 - Insecure Direct Object Reference to Authenticated (Contributor+) Post Meta DisclosureEPSS 0.5%CVE-2026-34046HIGHLangflow: Authenticated Users Can Read, Modify, and Delete Any Flow via Missing Ownership CheckEPSS 0.5%CVE-2024-10782MEDIUMTheme Builder For Elementor <= 1.2.2 - Authenticated (Contributor+) Post DisclosureEPSS 0.5%CVE-2023-6969MEDIUMUser Shortcodes Plus <= 2.0.2 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Disclosure via user_meta ShortcodeEPSS 0.5%CVE-2023-6506MEDIUMWP 2FA <= 2.5.0 - Insecure Direct Object Reference to Arbitrary Email SendingEPSS 0.5%CVE-2025-22931HIGHAn insecure direct object reference (IDOR) in the component /assets/stafffiles of OS4ED openSIS v7.0 to v9.1 allows unauthenticated attackerEPSS 0.5%CVE-2026-33946HIGHMCP Ruby SDK: Insufficient Session Binding Allows SSE Stream Hijacking via Session ID ReplayEPSS 0.5%