Falhas do tipo CWE-863

3.817 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2025-21519MEDIUMVulnerability in the MySQL Server product of Oracle MySQL (component: Server: Security: Privileges). Supported versions that are affected aEPSS 0.9%CVE-2023-27486HIGHInsufficient authorization validation between zones when xCAT zones are enabledEPSS 0.9%CVE-2022-43438HIGHHWA JIUH DIGITAL TECHNOLOGY LTD. EasyTest - Incorrect AuthorizationEPSS 0.9%CVE-2021-24770—Stylish Price List < 6.9.1 - Subscriber+ Arbitrary Image UploadEPSS 0.9%CVE-2021-41241MEDIUMAdvanced permissions is not respected for subfolders in Nextcloud serverEPSS 0.9%CVE-2026-41432HIGHNew API: Stripe Webhook Signature Bypass via Empty Secret Enables Unlimited Quota FraudEPSS 0.9%CVE-2023-28698CRITICALWADE DIGITAL DESIGN CO, LTD. FANTSY - Broken Acesss ControlEPSS 0.8%CVE-2018-20826—The inline-create rest resource in Jira before version 7.12.3 allows authenticated remote attackers to set the reporter in issues via a missEPSS 0.8%CVE-2022-24841MEDIUMImproper Authorization in github.com/fleetdm/fleetEPSS 0.8%CVE-2024-34106MEDIUMInsecure Direct Object Reference - An attacker can able to erase the victim quote detailsEPSS 0.8%CVE-2026-77111HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.8%CVE-2023-49982HIGHBroken access control in the component /admin/management/users of School Fees Management System v1.0 allows attackers to escalate privilegesEPSS 0.8%CVE-2026-33579CRITICALOpenClaw < 2026.3.28 - Privilege Escalation via Missing Caller Scope Validation in Device Pair ApprovalEPSS 0.8%CVE-2026-47303HIGHASP.NET Core Elevation of Privilege VulnerabilityEPSS 0.8%CVE-2026-43945HIGHFUXA Vulnerable to Pre-auth RCE via Path Manipulation & Configuration InjectionEPSS 0.8%CVE-2023-27107HIGHIncorrect access control in the runReport function of MyQ Solution Print Server before 8.2 Patch 32 and Central Server before 8.2 Patch 22 aEPSS 0.8%CVE-2025-48757CRITICALAn insufficient database Row-Level Security policy in Lovable through 2025-04-15 allows remote unauthenticated attackers to read or write toEPSS 0.8%CVE-2021-24279—Redirection for Contact Form 7 < 2.3.4 - Authenticated Arbitrary Plugin InstallationEPSS 0.8%CVE-2026-74036HIGHWazuh 4.3.0 before 4.14.8 Remote Code Execution via SCA Command PoliciesEPSS 0.8%CVE-2023-5356HIGHIncorrect Authorization in GitLabEPSS 0.8%