Falhas do tipo CWE-863

3.853 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2026-50173HIGHFlow-Like: Azure invoke presign grants app content write SAS to ExecuteEvents-only usersEPSS 0.7%CVE-2025-24409HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.7%CVE-2024-25108CRITICALInsufficient authorization allowing elevated access to resources in pixelfedEPSS 0.7%CVE-2023-48712HIGHUser authorization bug leading to privilege escalation in warpgateEPSS 0.7%CVE-2024-8970HIGHIncorrect Authorization in GitLabEPSS 0.7%CVE-2023-5521HIGHIncorrect Authorization in tiann/kernelsuEPSS 0.7%CVE-2026-76202HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.7%CVE-2023-25923LOWIBM Security Key Lifecycle Manager denial of serviceEPSS 0.7%CVE-2023-37300—An issue was discovered in the CheckUserLog API in the CheckUser extension for MediaWiki through 1.39.3. There is incorrect access control fEPSS 0.7%CVE-2024-23255CRITICALAn authentication issue was addressed with improved state management. This issue is fixed in iOS 17.4 and iPadOS 17.4, macOS Sonoma 14.4. PhEPSS 0.7%CVE-2022-41970LOWNextcloud Server's disabled download shares still allow download through preview imagesEPSS 0.7%CVE-2026-13737CRITICALCommand Restriction BypassEPSS 0.7%CVE-2026-13738CRITICALImproper Authorization ValidationEPSS 0.7%CVE-2025-5071HIGHAI Engine 2.8.0 - 2.8.3 - Authenticated (Subscriber+) Insufficient Authorization to Privilege Escalation via MCPEPSS 0.7%CVE-2023-23947CRITICALArgo CD users with any cluster secret update access may update out-of-bounds cluster secretsEPSS 0.7%CVE-2022-22167HIGHJunos OS: SRX Series: If no-syn-check is enabled, traffic classified as UNKNOWN gets permitted by pre-id-default-policyEPSS 0.7%CVE-2020-15163HIGHInvalid root may become trusted root in The Update Framework (TUF)EPSS 0.7%CVE-2022-22754MEDIUMIf a user installed an extension of a particular type, the extension could have auto-updated itself and while doing so, bypass the prompt whEPSS 0.7%CVE-2024-2698HIGHFreeipa: delegation rules allow a proxy service to impersonate any user to access another target serviceEPSS 0.7%CVE-2024-11670MEDIUMIncorrect authorization in the permission validation component of Devolutions Remote Desktop Manager 2024.2.21 and earlier on Windows allowsEPSS 0.7%