Falhas do tipo CWE-639

3.175 resultados

Manipulação de identificadores para contornar controle de acesso

A aplicação não valida adequadamente se o usuário autenticado tem permissão para acessar o recurso identificado pelo parâmetro fornecido (ID de registro, número de documento, etc.). Um atacante modifica esse parâmetro para acessar dados de outros usuários — por exemplo, mudando `user_id=123` para `user_id=124` na URL e obtendo informações alheias sem autenticação adicional.

Exemplo

Um banco permite visualizar extrato em `/api/extrato?conta=1001`. Um cliente autenticado como `user_123` descobre que pode acessar `/api/extrato?conta=1002` e ver o extrato completo de outra pessoa, porque o servidor apenas verifica se há uma sessão válida, não se aquele usuário é dono da conta 1002.

Como mitigar

Implemente validação de propriedade em cada requisição: antes de retornar dados, confirme que o ID do recurso pertence ao usuário autenticado. Use referências indiretas (tokens opacos) em vez de IDs sequenciais previsíveis, e aplique testes automatizados que tentam acessar recursos de outros usuários.

CVE-2022-40186CRITICALAn issue was discovered in HashiCorp Vault and Vault Enterprise before 1.11.3. A vulnerability in the Identity Engine was found where, in a EPSS 1.0%CVE-2022-33944MEDIUMICSA-22-200-01 MiCODUS MV720 GPS tracker Authorization Bypass Through User-Controlled KeyEPSS 1.0%CVE-2021-43820HIGHPermissions check bypass in SeafileEPSS 1.0%CVE-2023-26428MEDIUMAttackers can successfully request arbitrary snippet IDs, including E-Mail signatures of other users within the same context. Signatures of EPSS 1.0%CVE-2022-29159MEDIUMPossibility for anyone to add a stack with existing tasks on anyone's board in Nextcloud DeckEPSS 1.0%CVE-2026-69558HIGHMicrosoft Partner Center Information Disclosure VulnerabilityEPSS 1.0%CVE-2020-36923MEDIUMSony BRAVIA Digital Signage 1.7.8 Client-Side Protection Bypass via IDOREPSS 1.0%CVE-2019-5466—An IDOR was discovered in GitLab CE/EE 11.5 and later that allowed new merge requests endpoint to disclose label names.EPSS 1.0%CVE-2026-73298HIGHMicrosoft Container Migration Solution Accelerator: Authenticated IDOR allowing read/write/delete processesEPSS 1.0%CVE-2019-15581—An IDOR exists in < 12.3.2, < 12.2.6, and < 12.1.12 for GitLab Community Edition (CE) and Enterprise Edition (EE) that allowed a project ownEPSS 1.0%CVE-2026-85873MEDIUMSkype for Business Elevation of Privilege VulnerabilityEPSS 1.0%CVE-2026-42097CRITICALAuthentication Bypass in Sparx Pro Cloud ServerEPSS 0.9%CVE-2023-44249MEDIUMAn authorization bypass through user-controlled key [CWE-639] vulnerability in Fortinet FortiManager version 7.4.0 and before 7.2.3 and FortEPSS 0.9%CVE-2026-40308HIGHMy Calendar: Unauthenticated Information Disclosure (IDOR) via Multisite switch_to_blogEPSS 0.9%CVE-2023-26984HIGHAn issue in the password reset function of Peppermint v0.2.4 allows attackers to access the emails and passwords of the Tickets page via a cEPSS 0.9%CVE-2025-10493MEDIUMChained Quiz <= 1.3.5 - Unauthenticated Insecure Direct Object Reference via CookieEPSS 0.9%CVE-2024-11318HIGHIDOR vulnerability in AbsysNetEPSS 0.9%CVE-2022-0624MEDIUMAuthorization Bypass Through User-Controlled Key in ionicabizau/parse-pathEPSS 0.9%CVE-2026-57205MEDIUMSimpleChat: Authenticated users can access other users' profile metadata through user IDOR endpointsEPSS 0.9%CVE-2023-0558HIGHContentStudio <= 1.2.5 - Authorization BypassEPSS 0.9%