Falhas do tipo CWE-863

2.956 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2022-39214CRITICALAuthenticated users of Combodo iTop can take over any accountEPSS 25.6%CVE-2026-71362CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 24.5%CVE-2021-3560HIGHIt was found that polkit could be tricked into bypassing the credential checks for D-Bus requests, elevating the privileges of the requestorEPSS 23.7%KEVCVE-2020-12503HIGHPepperl+Fuchs improper authorization affects multiple Comtrol RocketLinx productsEPSS 23.3%CVE-2022-47874MEDIUMImproper Access Control in /tc/rpc in Jedox GmbH Jedox 2020.2.5 allows remote authenticated users to view details of database connections viEPSS 21.1%CVE-2025-43561CRITICALColdFusion | Incorrect Authorization (CWE-863)EPSS 20.6%CVE-2022-1401MEDIUMInsufficient validation of provided paths in Exago WrImageResource.axdEPSS 18.4%CVE-2019-8446—The /rest/issueNav/1/issueTable resource in Jira before version 8.3.2 allows remote attackers to enumerate usernames via an incorrect authorEPSS 17.5%CVE-2025-24434CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 17.2%CVE-2021-30533MEDIUMInsufficient policy enforcement in PopupBlocker in Google Chrome prior to 91.0.4472.77 allowed a remote attacker to bypass navigation restriEPSS 16.6%KEVCVE-2024-41110CRITICALMoby authz zero length regressionEPSS 16.5%CVE-2020-14321—In Moodle before 3.9.1, 3.8.4, 3.7.7 and 3.5.13, teachers of a course were able to assign themselves the manager role within that course.EPSS 16.2%CVE-2025-43565HIGHColdFusion | Incorrect Authorization (CWE-863)EPSS 15.7%CVE-2025-43564CRITICALColdFusion | Incorrect Authorization (CWE-863)EPSS 15.4%CVE-2023-2640HIGHOn Ubuntu kernels carrying both c914c0e27eb0 and "UBUNTU: SAUCE: overlayfs: Skip permission checking for trusted.overlayfs.* xattrs", an unpEPSS 15.2%CVE-2023-29708—An issue was discovered in /cgi-bin/adm.cgi in WavLink WavRouter version RPT70HA1.x, allows attackers to force a factory reset via crafted pEPSS 14.2%CVE-2023-32749HIGHPydio Cells allows users by default to create so-called external users in order to share files with them. By modifying the HTTP request sentEPSS 14.1%CVE-2021-21389HIGHBuddyPress privilege escalation via REST APIEPSS 13.5%CVE-2019-3401—The ManageFilters.jspa resource in Jira before version 7.13.3 and from version 8.0.0 before version 8.1.1 allows remote attackers to enumeraEPSS 12.7%CVE-2022-22978—In spring security versions prior to 5.4.11+, 5.5.7+ , 5.6.4+ and older unsupported versions, RegexRequestMatcher can easily be misconfigureEPSS 12.4%