Falhas do tipo CWE-863

3.871 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2026-71191MEDIUMIn OpenStack Swift through 2.38.0, S3API middleware does not enforce that semantic x-amz-* headers are covered by the SigV4 signature on preEPSS 0.6%CVE-2023-22251MEDIUMAdobe Commerce Incorrect Authorization Security feature bypassEPSS 0.6%CVE-2026-32767CRITICALSiYuan: Authorization Bypass Allows Arbitrary SQL Execution via Search APIEPSS 0.6%CVE-2026-58159HIGHApache Traffic Server: Listener and ACL handling allow access-control bypassEPSS 0.6%CVE-2026-55774LOWOpenBao: Cross-namespace lease revocation/renewal via canonical sys/leases/{revoke,renew} — incomplete fix of CVE-2026-45808EPSS 0.6%CVE-2026-34645HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2021-43553LOWOSIsoft PI VisionEPSS 0.6%CVE-2026-48415HIGHAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2025-3260HIGHA security vulnerability in the /apis/dashboard.grafana.app/* endpoints allows authenticated users to bypass dashboard and folder permissionEPSS 0.6%CVE-2026-10130HIGHQueryWeaver Authentication Bypass via Email Signup Token Issuance for Existing AccountsEPSS 0.6%CVE-2026-76438MEDIUMCisco BroadWorks CommPilot Application Software Authorization Bypass VulnerabilityEPSS 0.6%CVE-2026-18674HIGHKong Mesh multi-zone: the global control plane attributes KDS-synced resources by an unvalidated in-band zone identifierEPSS 0.6%CVE-2026-48412LOWAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2023-37881MEDIUMWeak Access Control between Domains in Wing FTP Server <= 7.2.0EPSS 0.6%CVE-2025-31254MEDIUMThis issue was addressed with improved URL validation. This issue is fixed in Safari 26, iOS 26 and iPadOS 26. Processing maliciously crafteEPSS 0.6%CVE-2023-5995MEDIUMIncorrect Authorization in GitLabEPSS 0.6%CVE-2025-24419MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%CVE-2022-0984—Users with the capability to configure badge criteria (teachers and managers by default) were able to configure course badges with profile fEPSS 0.6%CVE-2025-48466HIGHModbus Command Injection without AuthenticationEPSS 0.6%CVE-2025-24420MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.6%