Falhas do tipo CWE-863

3.871 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2023-4379HIGHIncorrect Authorization in GitLabEPSS 0.6%CVE-2025-0237MEDIUMWebChannel APIs susceptible to confused deputy attackEPSS 0.6%CVE-2026-65831HIGHArcadeDB: Privilege escalation via reader role in /api/v1/command JS scripting language — arbitrary host file readEPSS 0.6%CVE-2026-42096HIGHBroken Access Control in Sparx Pro Cloud ServerEPSS 0.6%CVE-2026-25924HIGHKanboard is Missing Access Control on Plugin Installation leading to Administrative RCEEPSS 0.6%CVE-2023-24999MEDIUMVault Fails to Verify if the AppRole SecretID Belongs to Role During a Destroy OperationEPSS 0.6%CVE-2022-46258MEDIUMIncorrect Authorization in GitHub Enterprise Server leads to Action Workflow modifications without Workflow ScopeEPSS 0.6%CVE-2024-30616HIGHChamilo LMS 1.11.26 is vulnerable to Incorrect Access Control via main/auth/profile. Non-admin users can manipulate sensitive profiles inforEPSS 0.6%CVE-2022-41274MEDIUMSAP Disclosure Management - version 10.1, allows an authenticated attacker to exploit certain misconfigured application endpoints to read seEPSS 0.6%CVE-2026-95860CRITICALnode-opcua: Namespace-Level RBAC Fail-Open - Anonymous Write/Call Bypass via Unbound `DefaultRolePermissionsEPSS 0.6%CVE-2023-32220HIGHMilesight NCR/Camera Authentication BypassEPSS 0.6%CVE-2026-48489HIGHSymfony: Security Firewall Bypass via failure_forward Subrequest: Unauthenticated Access to access_control-Protected GET RoutesEPSS 0.6%CVE-2026-56075HIGHPraisonAI - Arbitrary Shell Command Execution via Hardcoded Approval Mode OverrideEPSS 0.6%CVE-2020-7300MEDIUMDLP ePO extension - Improper AuthorizationEPSS 0.6%CVE-2026-123023MEDIUMagentscope-ai AgentScope Bash Tool _bash.py check_permissions authorizationEPSS 0.6%CVE-2025-27188MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2023-34218CRITICALIn JetBrains TeamCity before 2023.05 bypass of permission checks allowing to perform admin actions was possibleEPSS 0.6%CVE-2026-91998CRITICALCasdoor through 4.4.0 Cross-Organization User Administration via /api/mcpEPSS 0.6%CVE-2025-30703LOWVulnerability in the MySQL Server product of Oracle MySQL (component: InnoDB). Supported versions that are affected are 8.0.0-8.0.41, 8.4.0EPSS 0.6%CVE-2024-45128MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%