Falhas do tipo CWE-863

3.882 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2026-105938LOWApache Pulsar: Subscription authorization policies not enforced by namespace-level backlog and unsubscribe operations and by topic expire-allEPSS 0.5%CVE-2025-13813MEDIUMmoxi159753 Mogu Blog v2 Storage Management Endpoint storage authorizationEPSS 0.5%CVE-2026-80203CRITICALGrav before 1.0.18 Authentication Bypass via Scoped API KeyEPSS 0.5%CVE-2022-3819LOWAn improper authorization issue in GitLab CE/EE affecting all versions from 15.0 prior to 15.3.5, 15.4 prior to 15.4.4, and 15.5 prior to 15EPSS 0.5%CVE-2026-77181CRITICALApache Syncope: ClientApp update entitlement not effectiveEPSS 0.5%CVE-2026-61744MEDIUMInvenTree: Barcode-scan API (`POST /api/barcode/`) returns full serialized object data without enforcing the model's view roleEPSS 0.5%CVE-2026-71518HIGHTypemill < 2.26.0 Authorization Bypass via Media File Download RouteEPSS 0.5%CVE-2026-67347MEDIUMVendure 3.7.1 Cross-Channel Authorization Bypass via StockLocation and Asset UpdateEPSS 0.5%CVE-2026-16126MEDIUMzevorn rt-claw Swarm RPC Receiver swarm.c handle_rpc_request authorizationEPSS 0.5%CVE-2024-11669MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2025-48948HIGHNavidrome Transcoding Permission Bypass Vulnerability ReportEPSS 0.5%CVE-2022-45353MEDIUMWordPress Betheme theme <= 26.6.1 is vulnerable to Broken Access ControlEPSS 0.5%CVE-2023-4812HIGHIncorrect Authorization in GitLabEPSS 0.5%CVE-2024-31682CRITICALIncorrect access control in the fingerprint authentication mechanism of Phone Cleaner: Boost & Clean v2.2.0 allows attackers to bypass fingeEPSS 0.5%CVE-2026-115642HIGHIn OpenStack keystonemiddleware before 13.0.2, by supplying a custom X-Service-Token header in a request, anyone in possession of an access-EPSS 0.5%CVE-2024-41939HIGHA vulnerability has been identified in SINEC NMS (All versions < V3.0). The affected application does not properly enforce authorization cheEPSS 0.5%CVE-2026-58139MEDIUMDuckDB AWS Extension Security Policy Bypass via load_aws_credentials ProcedureEPSS 0.5%CVE-2026-92191HIGHQuest Foglight for Databases runScript Incorrect Authorization Remote Code Execution VulnerabilityEPSS 0.5%CVE-2023-22891HIGHThere exists a privilege escalation vulnerability in SmartBear Zephyr Enterprise through 7.15.0 that could be exploited by authorized users EPSS 0.5%CVE-2026-18918CRITICALOAuth 1.0 session-fixation chain via unauthenticated provisional-consumer registration and insecure v1_0Allowed defaultEPSS 0.5%