Falhas do tipo CWE-863

3.876 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2025-40568MEDIUMA vulnerability has been identified in RUGGEDCOM RST2428P (6GK6242-6PA00) (All versions < V3.2), SCALANCE XCH328 (6GK5328-4TS01-2EC2) (All vEPSS 0.5%CVE-2024-44667HIGHShenzhen Haichangxing Technology Co., Ltd HCX H822 4G LTE Router M7628NNxISPxUIv2_v1.0.1557.15.35_P0 is vulnerable to Incorrect Access ContrEPSS 0.5%CVE-2026-62420CRITICALCross-project cluster migration bypasses project restrictions via cluster notification flagEPSS 0.5%CVE-2026-86665MEDIUMaircheng-org iWebShop-5 update.php index authorizationEPSS 0.5%CVE-2023-22945MEDIUMIn the GrowthExperiments extension for MediaWiki through 1.39, the growthmanagementorlist API allows blocked users (blocked in ApiManageMentEPSS 0.5%CVE-2026-22595HIGHGhost has Staff Token permission bypassEPSS 0.5%CVE-2026-63085HIGHAxelor Open Platform 8.x < 8.2.2 Authorization Bypass via Nested Relational Record PersistenceEPSS 0.5%CVE-2026-71506HIGHDolibarr < 24.0.0 Payments REST API Improper Authorization via Delete EndpointEPSS 0.5%CVE-2022-2597—Visual Portfolio < 2.19.0 - Contributor+ CSS InjectionEPSS 0.5%CVE-2024-45125MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.5%CVE-2026-113611MEDIUMOutline before 1.8.0 Information Disclosure via Orphaned Webhook SubscriptionsEPSS 0.5%CVE-2026-26205HIGHopa-envoy-plugin has an Authorization Bypass via Double-Slash Path Misinterpretation in `input.parsed_path`EPSS 0.5%CVE-2022-30358HIGHOvalEdge 5.2.8.0 and earlier is affected by an Account Takeover vulnerability via a POST request to /user/updatePassword via the userId and EPSS 0.5%CVE-2026-100252HIGHApache ZooKeeper: SASL authorization bypass on the client port through a client-supplied authorization IDEPSS 0.5%CVE-2023-4532MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2022-46160MEDIUMTuleap dashboards vulnerable to Incorrect AuthorizationEPSS 0.5%CVE-2026-97406CRITICALAuthentication Bypass via Bearer Tokens to Unauthorized Credential MintingEPSS 0.5%CVE-2022-39388HIGHIstio may allow identity impersonation if user has localhost accessEPSS 0.5%CVE-2023-37491HIGHImproper Authorization check vulnerability in SAP Message ServerEPSS 0.5%CVE-2026-47892CRITICALSpring Framework Header Predicate Bypass in WebFlux Functional EndpointsEPSS 0.5%