Falhas do tipo CWE-863

3.853 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2022-46308HIGHSGUDA U-Lock - Broken Access ControlEPSS 0.7%CVE-2022-46307HIGHSGUDA U-Lock - Broken Access ControlEPSS 0.7%CVE-2024-24779MEDIUMApache Superset: Improper data authorization when creating a new datasetEPSS 0.7%CVE-2026-41283CRITICALOpenStack Mistral through 22.0.0 allows Arbitrary Remote Code Execution when the API is exposed. There are endpoints that allow code executiEPSS 0.7%CVE-2021-24282—Redirection for Contact Form 7 < 2.3.4 - Unprotected AJAX ActionsEPSS 0.7%CVE-2026-47984HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.7%CVE-2024-45132MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.7%CVE-2026-28229CRITICALArgo Workflows has unauthorized access to Argo Workflows TemplateEPSS 0.7%CVE-2026-63512MEDIUMMicrosoft SharePoint Server Tampering VulnerabilityEPSS 0.7%CVE-2025-21555MEDIUMVulnerability in the MySQL Server product of Oracle MySQL (component: InnoDB). Supported versions that are affected are 8.0.40 and prior, 8EPSS 0.7%CVE-2026-21721HIGHDashboard Permissions Scope Bypass Enables Cross‑Dashboard Privilege EscalationEPSS 0.7%CVE-2023-47320HIGHSilverpeas Core 6.3.1 is vulnerable to Incorrect Access Control. An attacker with low privileges is able to execute the administrator-only fEPSS 0.7%CVE-2023-38493HIGHPaths contain matrix variables bypass decoratorsEPSS 0.7%CVE-2021-3763—A flaw was found in the Red Hat AMQ Broker management console in version 7.8 where an existing user is able to access some limited informatiEPSS 0.7%CVE-2022-45383MEDIUMAn incorrect permission check in Jenkins Support Core Plugin 1206.v14049fa_b_d860 and earlier allows attackers with Support/DownloadBundle pEPSS 0.7%CVE-2024-53949HIGHApache Superset: Lower privilege users are able to create Role when FAB_ADD_SECURITY_API is enabledEPSS 0.7%CVE-2021-24652—PostX Gutenberg Blocks for Post Grid < 2.4.10 - Missing Access ControlsEPSS 0.7%CVE-2024-31695CRITICALA misconfiguration in the fingerprint authentication mechanism of Binance: BTC, Crypto and NFTS v2.85.4, allows attackers to bypass authentiEPSS 0.7%CVE-2020-23362HIGHInsecure Permissons vulnerability found in Shop_CMS YerShop all versions allows a remote attacker to escalate privileges via the cover_id paEPSS 0.7%CVE-2026-75732CRITICALAdobe Experience Manager | Incorrect Authorization (CWE-863)EPSS 0.7%