Falhas do tipo CWE-639

3.175 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2026-88065HIGH`tts-be` application has a Broken Access Control vulnerabilityEPSS 0.5%CVE-2024-50693CRITICALSunGrow iSolarCloud before the October 31, 2024 remediation is vulnerable to insecure direct object references (IDOR) via the userService APEPSS 0.5%CVE-2026-65316HIGHxxl-job Cross-Job-Group Log Disclosure via Missing Authorization Check in /joblog/logDetailCatEPSS 0.5%CVE-2026-55429HIGHCoder's workspace app upsert allows cross-workspace agent rebinding via user-controlled app IDEPSS 0.5%CVE-2022-36966MEDIUMInsecure Direct Object Reference Vulnerability: Orion Platform 2020.2.6EPSS 0.5%CVE-2026-91144HIGHZFile through 5.0.5 Share Entry Filter Bypass via Download EndpointEPSS 0.5%CVE-2026-47094HIGHSIMAC MyPHR 1.1 IDOR Account Takeover via /api/employes/put/{id}EPSS 0.5%CVE-2025-30254MEDIUMGrowatt Cloud portal Authorization Bypass Through User-Controlled KeyEPSS 0.5%CVE-2025-27938MEDIUMGrowatt Cloud portal Authorization Bypass Through User-Controlled KeyEPSS 0.5%CVE-2026-76647HIGHLeantime JSON-RPC API contains a missing authorization vulnerabilityEPSS 0.5%CVE-2025-30514MEDIUMGrowatt Cloud portal Authorization Bypass Through User-Controlled KeyEPSS 0.5%CVE-2026-77240CRITICALWACRM: Database-layer authorization bypassesEPSS 0.5%CVE-2025-24487MEDIUMGrowatt Cloud portal Authorization Bypass Through User-Controlled KeyEPSS 0.5%CVE-2025-27568MEDIUMGrowatt Cloud portal Authorization Bypass Through User-Controlled KeyEPSS 0.5%CVE-2026-65917HIGHCyberPanel IncBackups IDOR via Sequential Backup IDEPSS 0.5%CVE-2026-61460HIGHKrayin CRM Insecure Direct Object Reference via ControllersEPSS 0.5%CVE-2026-54105MEDIUMU.S. GAO EPDS and CBCA EDS user information disclosureEPSS 0.5%CVE-2026-119215HIGHAshAuthentication TOTP setup lets a user install their own authenticator secret on another user's accountEPSS 0.5%CVE-2026-55065HIGHVikunja: Improper Authorization and Authorization Bypass Through User-Controlled Key in code.vikunja.io/apiEPSS 0.5%CVE-2026-58660HIGHKanboard BoardAjaxController Missing Ownership Check via Drag-and-DropEPSS 0.5%