Falhas do tipo CWE-639

3.175 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2026-85105MEDIUMNousResearch hermes-agent Session Management s71.py _sess_nowait authorizationEPSS 0.5%CVE-2022-42067MEDIUMOnline Birth Certificate Management System version 1.0 suffers from an Insecure Direct Object Reference (IDOR) vulnerabilityEPSS 0.5%CVE-2026-25757HIGHUnauthenticated Spree Commerce users can view completed guest orders by Order IDEPSS 0.5%CVE-2025-12854MEDIUMnewbee-mall-plus seckillExecution executeSeckill authorizationEPSS 0.5%CVE-2026-28696HIGHCraft affected by IDOR via GraphQL @parseRefsEPSS 0.5%CVE-2024-0580MEDIUMOmission of key-controlled authorization in QsigeEPSS 0.5%CVE-2024-50685CRITICALSunGrow iSolarCloud before the October 31, 2024 remediation, is vulnerable to insecure direct object references (IDOR) via the powerStationSEPSS 0.5%CVE-2024-1604MEDIUMIncorrect authorization in BMC Control-MEPSS 0.5%CVE-2023-36483MEDIUMMAS (a Carrier brand) MASmobile Classic Authorization BypassEPSS 0.5%CVE-2024-50686CRITICALSunGrow iSolarCloud before the October 31, 2024 remediation is vulnerable to insecure direct object references (IDOR) via the commonService EPSS 0.5%CVE-2024-50689CRITICALSunGrow iSolarCloud before the October 31, 2024 remediation is vulnerable to insecure direct object references (IDOR) via the orgService APIEPSS 0.5%CVE-2026-8890HIGHcode100x Mobile API Authentication Bypass via Header SpoofingEPSS 0.5%CVE-2026-72001HIGHPangolin < 1.22.0 Authentication Bypass via Share-Link EndpointEPSS 0.5%CVE-2025-42605CRITICALImproper Access Control Vulnerability in Meon Bidding SolutionsEPSS 0.5%CVE-2023-38201MEDIUMKeylime: challenge-response protocol bypass during agent registrationEPSS 0.5%CVE-2024-10452LOWOrganization admins can delete pending invites created in an organization they are not part of.EPSS 0.5%CVE-2026-9099HIGHKeycloak: group-admin escalation to realm-adminEPSS 0.5%CVE-2026-18121MEDIUMConcrete CMS 9.5.2 and below is vulnerable to an authorization bypass (IDOR) in the Calendar block's frontend event dialog (/ccm/calendar/view_event/{bID}/{occurrence_id}).EPSS 0.5%CVE-2024-5131HIGHImproper Access Control in lunary-ai/lunaryEPSS 0.5%CVE-2026-48975HIGHHomeBox: Cross-Tenant IDOR in MaintenanceEntry Update and Delete Allows Tampering and Destruction of Any User's Maintenance History in HomeboxEPSS 0.5%