Falhas do tipo CWE-863

3.871 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2025-21403MEDIUMOn-Premises Data Gateway Information Disclosure VulnerabilityEPSS 0.6%CVE-2026-100721CRITICALvm2 before 3.12.2 Authorization Bypass via Custom ResolverEPSS 0.6%CVE-2024-27105HIGHFrappe File Permissions can by bypassed using certain endpointsEPSS 0.6%CVE-2026-71383HIGHColdFusion | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2024-57677MEDIUMAn access control issue in the component form2Wan.cgi of D-Link 816A2_FWv1.10CNB05_R1B011D88210 allows unauthenticated attackers to set the EPSS 0.6%CVE-2024-23329LOWchangedetection.io API endpoint is not secured with API tokenEPSS 0.6%CVE-2023-3066HIGHMobatime mobile application - Broken authorisationEPSS 0.6%CVE-2024-22412LOWClickHouse's Role-based Access Control is bypassed when query caching is enabled.EPSS 0.6%CVE-2024-57679MEDIUMAn access control issue in the component form2RepeaterSetup.cgi of D-Link 816A2_FWv1.10CNB05_R1B011D88210 allows unauthenticated attackers tEPSS 0.6%CVE-2026-55625MEDIUMGoCD is vulnerable to authorization bypass via material connection test APIsEPSS 0.6%CVE-2024-1741CRITICALImproper Authorization in lunary-ai/lunaryEPSS 0.6%CVE-2026-86544HIGHknowns before 0.30.0 Authorization Bypass via Misclassified Code ActionsEPSS 0.6%CVE-2024-6593CRITICALWatchGuard Firebox Single Sign-On Agent Management Interface Authentication BypassEPSS 0.6%CVE-2026-52740MEDIUMGoCD is vulnerable to pipeline template view API authorization bypassEPSS 0.6%CVE-2021-42025—A vulnerability has been identified in Mendix Applications using Mendix 8 (All versions < V8.18.13), Mendix Applications using Mendix 9 (AllEPSS 0.6%CVE-2026-54560HIGHCloudreve: OAuth access tokens bypass scope enforcement due to missing client_id claimEPSS 0.6%CVE-2023-3484HIGHIncorrect Authorization in GitLabEPSS 0.6%CVE-2023-0133MEDIUMInappropriate implementation in in Permission prompts in Google Chrome on Android prior to 109.0.5414.74 allowed a remote attacker to bypassEPSS 0.6%CVE-2021-33718—A vulnerability has been identified in Mendix Applications using Mendix 7 (All versions < V7.23.22), Mendix Applications using Mendix 8 (AllEPSS 0.6%CVE-2026-57117HIGHPraisonAI: Compute-bridged file tools allow shell command injectionEPSS 0.6%