Falhas do tipo CWE-863

3.888 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2026-105720MEDIUMMicrosoft Office SharePoint Elevation of Privilege VulnerabilityEPSS 0.5%CVE-2026-88044CRITICALrclone: RC per-server auth-proxy bypassEPSS 0.5%CVE-2024-20482MEDIUMA vulnerability in the web-based management interface of Cisco Secure Firewall Management Center (FMC) Software, formerly Firepower ManagemeEPSS 0.5%CVE-2026-27112CRITICALKargo has an Authorization Bypass Vulnerability in Batch Resource Creation API EndpointsEPSS 0.5%CVE-2024-51426HIGHAn issue in the PepeGxng smart contract (which can be run on the Ethereum blockchain) allows remote attackers to have an unspecified impact EPSS 0.5%CVE-2023-3964MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2024-48792HIGHAn issue in Hideez com.hideez 2.7.8.3 allows a remote attacker to obtain sensitive information via the firmware update process.EPSS 0.5%CVE-2024-40770HIGHA permissions issue was addressed with additional restrictions. This issue is fixed in macOS Sequoia 15. A non-privileged user may be able tEPSS 0.5%CVE-2026-71184HIGHGitea fork workflow approval bypass through review eventsEPSS 0.5%CVE-2023-23476LOWIBM Robotic Process Automation information disclosureEPSS 0.5%CVE-2026-32102HIGHOliveTin Unauthorized Action Output Disclosure via EventStreamEPSS 0.5%CVE-2026-105780CRITICALAdobe Campaign Classic (ACC) | Incorrect Authorization (CWE-863)EPSS 0.5%CVE-2026-73318MEDIUMXenForo < 2.3.13 Missing Authorization via force-agreement ControllerEPSS 0.5%CVE-2025-21540MEDIUMVulnerability in the MySQL Server product of Oracle MySQL (component: Server: Security: Privileges). Supported versions that are affected aEPSS 0.5%CVE-2024-23929HIGHPioneer DMH-WT7600NEX Telematics Directory TraversalEPSS 0.5%CVE-2024-45043MEDIUMOpenTelemetry Collector AWS Firehose Receiver Authentication Bypass VulnerabilityEPSS 0.5%CVE-2025-42951HIGHBroken Authorization in SAP Business One (SLD)EPSS 0.5%CVE-2026-59851HIGHLibssh: libssh: authentication bypass via missing gssapi principal checkEPSS 0.5%CVE-2026-71424CRITICALOnyx: Cross-user OAuth-token leak via /api/mcp/servers* for per-user MCP serversEPSS 0.5%CVE-2018-25146HIGHMicrohard Systems IPn4G 1.1.0 Service Control Denial of ServiceEPSS 0.5%