Falhas do tipo CWE-639

3.175 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2026-58660HIGHKanboard BoardAjaxController Missing Ownership Check via Drag-and-DropEPSS 0.5%CVE-2024-10794MEDIUMBoostify Header Footer Builder for Elementor <= 1.3.6 - Authenticated (Contributor+) Post DisclosureEPSS 0.5%CVE-2025-69394HIGHWordPress Cnvrse plugin < 026.02.10.20 - Insecure Direct Object References (IDOR) vulnerabilityEPSS 0.5%CVE-2026-80354HIGHApache Camel K: Camel K Builder trait mavenProfiles ValueSources resolve tenant-named secrets in operator namespaceEPSS 0.5%CVE-2025-30777MEDIUMWordPress Support Genix plugin <= 1.4.11 - Insecure Direct Object References (IDOR) VulnerabilityEPSS 0.5%CVE-2025-67165CRITICALAn Insecure Direct Object Reference (IDOR) in Pagekit CMS v1.0.18 allows attackers to escalate privileges.EPSS 0.5%CVE-2025-10947MEDIUMSistemas Pleno Gestão de Locação CPF validarCpf authorizationEPSS 0.5%CVE-2024-11181MEDIUMGreenshift – animation and page builder blocks <= 9.9.9.3 - Authenticated (Contributor+) Post DisclosureEPSS 0.5%CVE-2024-10696MEDIUMUltraAddons – Elementor Addons (Header Footer Builder, Custom Font, Custom CSS,Woo Widget, Menu Builder, Anywhere Elementor Shortcode) <= 1.1.8 - Insecure Direct Object Reference to Sensitive Information Exposure via UA_Template ShortcodeEPSS 0.5%CVE-2026-63763HIGHSurrealDB before 2.5.0 Privilege Escalation via Future FieldsEPSS 0.5%CVE-2024-50651MEDIUMjava_shop 1.0 is vulnerable to Incorrect Access Control, which allows attackers to obtain sensitive information of users with different IDs EPSS 0.5%CVE-2024-0872MEDIUMWatu Quiz <= 3.4.1 - Sensitive Information DisclosureEPSS 0.5%CVE-2026-73656CRITICALTrigger.dev: Cross-project deployment worker registration can modify another project's deployment stateEPSS 0.5%CVE-2020-37008HIGHEasyPMS 1.0.0 - Authentication BypassEPSS 0.5%CVE-2026-63647CRITICALCordysCRM SSE Notification Stream Hijack via `/sse/subscribe`EPSS 0.5%CVE-2026-28313CRITICALSolarWinds Serv-U Insecure Direct Object Reference (IDOR) VulnerabilityEPSS 0.5%CVE-2026-28317CRITICALSolarWinds Serv-U Insecure Direct Object Reference (IDOR) VulnerabilityEPSS 0.5%CVE-2026-40127MEDIUMAuthorization Bypass Through User-Controlled Key in OutSystems LifetimeEPSS 0.5%CVE-2026-33760HIGHLangflow: IDOR/BOLA in Monitor API — Missing Ownership Enforcement on 7 EndpointsEPSS 0.5%CVE-2024-46937CRITICALAn improper access control (IDOR) vulnerability in the /api-selfportal/get-info-token-properties endpoint in MFASOFT Secure Authentication SEPSS 0.5%