Falhas do tipo CWE-863

3.887 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2026-20072MEDIUMISE information disclosureEPSS 0.5%CVE-2023-4107MEDIUMIncorrect authorization allows a user manager to update a system adminEPSS 0.5%CVE-2024-10275HIGHImproper Role Modification by Admins for Billing Permissions in lunary-ai/lunaryEPSS 0.5%CVE-2026-62190HIGHOpenClaw < 2026.6.9 Authorization Bypass via flock wrapperEPSS 0.5%CVE-2022-39352MEDIUMOpenFGA Authorization BypassEPSS 0.5%CVE-2024-5816MEDIUMImproper authorization allows persistent access in GitHub Enterprise ServerEPSS 0.5%CVE-2026-57137HIGHPraisonAI AgentLoop onToolCall approval runs after tool executionEPSS 0.5%CVE-2023-27485MEDIUMInsufficient verification of authorisation when accessing subresults in thmmniii/fbs-coreEPSS 0.5%CVE-2022-31154MEDIUMIndirect Object Access in Sourcegraph Code MonitoringEPSS 0.5%CVE-2022-31155MEDIUMUnauthorized overwriting of saved searches in SourcegraphEPSS 0.5%CVE-2026-85620CRITICALPostgres MCP Pro 0.3.0 Restricted-Mode Bypass via FROM-Clause FunctionEPSS 0.5%CVE-2026-68561HIGHWekan: a low-privilege board member escalates to board admin and takes over a private board via the `sort` collection-allow ruleEPSS 0.5%CVE-2026-71387HIGHColdFusion | Incorrect Authorization (CWE-863)EPSS 0.5%CVE-2025-21569MEDIUMVulnerability in the Oracle Hyperion Data Relationship Management product of Oracle Hyperion (component: Web Services). The supported versEPSS 0.5%CVE-2023-5198MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2025-21565HIGHVulnerability in the Oracle Agile PLM Framework product of Oracle Supply Chain (component: Install). The supported version that is affecteEPSS 0.5%CVE-2026-13484LOWMLflow Experiment-scoped Label Schema CRUD API authorizationEPSS 0.5%CVE-2026-54076HIGHArcadeDB: Read-only users can mutate database schema (incomplete fix of CVE-2026-44221)EPSS 0.5%CVE-2023-28635MEDIUMDefining resource name as integer in vantage6 may give unintended accessEPSS 0.5%CVE-2024-3404MEDIUMImproper Access Control in gaizhenbiao/chuanhuchatgptEPSS 0.5%