Falhas do tipo CWE-639

2.456 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2024-13040HIGHQuanta Computer QOCA aim - Authorization BypassEPSS 0.5%CVE-2024-1107CRITICALIDOR in Talya Informatics' Travel APPSEPSS 0.5%CVE-2023-23679MEDIUMWordPress JS Help Desk – Best Help Desk & Support Plugin Plugin <= 2.7.7 is vulnerable to Insecure Direct Object References (IDOR)EPSS 0.5%CVE-2026-11987MEDIUMDokan: AI Powered WooCommerce Multivendor Marketplace Solution <= 5.0.4 - Authenticated (Subscriber+) Insecure Direct Object Reference to Information Disclosure via 'id' ParameterEPSS 0.5%CVE-2026-7886LOWConcrete CMS 9.5.0 and below is vulnerable to IDOR in AddMessage/UpdateMessage via attachments[] parameterEPSS 0.5%CVE-2026-41878HIGHInsecure Direct Object Reference in R-SOFT DMSEPSS 0.5%CVE-2026-33297MEDIUMAVideo has an IDOR - Any Admin Can Set Another User's Channel Password via setPassword.json.phpEPSS 0.5%CVE-2026-48912MEDIUMApache Answer: Improper authorization in avatar update cleanup allows authenticated users to delete arbitrary uploaded files by URLEPSS 0.5%CVE-2024-10796MEDIUMIf-So Dynamic Content Personalization <= 1.9.2.1 - Authenticated (Contributor+) Post DisclosureEPSS 0.5%CVE-2026-84796HIGHCraft CMS 5.0.0-RC1 before 5.10.11 GraphQL Entry Mutation Site Scope BypassEPSS 0.5%CVE-2026-56230HIGHCapgo - Broken Object Level Authorization via x-limited-key-id HeaderEPSS 0.5%CVE-2024-10782MEDIUMTheme Builder For Elementor <= 1.2.2 - Authenticated (Contributor+) Post DisclosureEPSS 0.5%CVE-2023-6983MEDIUMDisplay custom fields in the frontend – Post and User Profile Fields <= 1.2.1 - Insecure Direct Object Reference to Authenticated (Contributor+) Post Meta DisclosureEPSS 0.5%CVE-2026-68527MEDIUMConcrete CMS 8.3.0 through 9.5.2 is vulnerable to an authorization bypass through user-controlled key (cross-calendar IDOR) in the Calendar event edit dialogEPSS 0.5%CVE-2023-6969MEDIUMUser Shortcodes Plus <= 2.0.2 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Disclosure via user_meta ShortcodeEPSS 0.5%CVE-2026-42278HIGHUltraDAG: Smart Account Spending Policy Bypass via PocketsEPSS 0.5%CVE-2026-94535HIGHlamp-cloud through 5.10.0 Unauthorized Notification DeletionEPSS 0.5%CVE-2026-92603HIGHContiNew Admin through 4.1.0 Unauthorized Message Deletion via UserMessageControllerEPSS 0.5%CVE-2023-6506MEDIUMWP 2FA <= 2.5.0 - Insecure Direct Object Reference to Arbitrary Email SendingEPSS 0.5%CVE-2025-22931HIGHAn insecure direct object reference (IDOR) in the component /assets/stafffiles of OS4ED openSIS v7.0 to v9.1 allows unauthenticated attackerEPSS 0.5%