Falhas do tipo CWE-863

3.878 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2025-54583HIGHGitProxy bypasses approvals when pushing multiple branchesEPSS 0.5%CVE-2024-10109HIGHIncorrect Authorization in mintplex-labs/anything-llmEPSS 0.5%CVE-2025-10656CRITICALSpreadsheet Price Changer for WooCommerce and WP E-commerce – Light <= 2.4.37 - Missing Authorization to Unauthenticated Privilege Escalation via Admin Account CreationEPSS 0.5%CVE-2026-59226LOWOpen WebUI: Scheduled automations continue after pending-user deactivation and stored model ACL revocationEPSS 0.5%CVE-2024-42473HIGHOpenFGA Authorization BypassEPSS 0.5%CVE-2026-1734MEDIUMZhong Bang CRMEB crontab Endpoint CrontabController.php authorizationEPSS 0.5%CVE-2026-22659HIGHFlaskBB Authorization Bypass via Topic ID ManipulationEPSS 0.5%CVE-2026-71193CRITICALIn OpenStack Designate before 22.0.1, zone creation checks (_is_subzone, _is_superzone, and the duplicate-zone DB constraint) are scoped to EPSS 0.5%CVE-2026-30945HIGHStudioCMS: IDOR — Arbitrary API Token Revocation Leading to Denial of ServiceEPSS 0.5%CVE-2026-56443CRITICALToken public-only scope bypassed on Limited-visibility owners (Repository + Package categories) — residual after CVE-2026-25714 / PR #37118EPSS 0.5%CVE-2024-57681MEDIUMAn access control issue in the component form2alg.cgi of D-Link 816A2_FWv1.10CNB05_R1B011D88210 allows unauthenticated attackers to set the EPSS 0.5%CVE-2023-25043MEDIUMWordPress Data Tables Generator by Supsystic Plugin <= 1.10.25 is vulnerable to Broken Access ControlEPSS 0.5%CVE-2024-57680MEDIUMAn access control issue in the component form2PortriggerRule.cgi of D-Link 816A2_FWv1.10CNB05_R1B011D88210 allows unauthenticated attackers EPSS 0.5%CVE-2026-69262HIGHFlowise: `DELETE /api/v1/chatflows/:id` does not validate resource type, allowing `agentflows:delete` and `chatflows:delete` to delete each other’s flow typeEPSS 0.5%CVE-2023-3253MEDIUMImproper authorization in NessusEPSS 0.5%CVE-2026-92796HIGHManticore Search 27.0.0 before 28.4.4 Multi-Statement Authorization BypassEPSS 0.5%CVE-2026-73305HIGHBudibase: Privilege escalation via public role assignment API missing app-level authorizationEPSS 0.5%CVE-2026-92788HIGHCoze Studio through 0.5.1 Cross-Tenant Database Access via Workflow SQL NodeEPSS 0.5%CVE-2026-56424HIGHBroken access control in MISP core allows cross-organization unauthorized modification or deletion of analyst data, event reports, collections, templates, and decaying modelsEPSS 0.5%CVE-2026-72886CRITICALDokploy: Non-admin member gains root on the host by bypassing the owner/admin check on server-level schedules (incomplete fix of CVE-2026-45632)EPSS 0.5%