Falhas do tipo CWE-863

3.888 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2022-41918MEDIUMIssue with fine-grained access control of indices backing data streamsEPSS 0.5%CVE-2026-120487HIGHLaraDashboard before 1.4.5 Incorrect Authorization via SettingPolicy Core UpgradesEPSS 0.5%CVE-2022-23473MEDIUMTuleap MediaWiki standalone "readers" can also edit pagesEPSS 0.5%CVE-2022-43770MEDIUMHitachi Vantara Pentaho Business Analytics Server - Incorrect AuthorizationEPSS 0.5%CVE-2026-22806CRITICALvCluster Platform's Access Keys Allows Access Beyond ScopeEPSS 0.5%CVE-2025-48474MEDIUMFreeScout Vulnerable to Insufficient AuthorizationEPSS 0.5%CVE-2026-52466CRITICALOpen Library Foundation VuFind v11.0.3 and v4.1 is vulnerable to toInorrect Access Control. The application fails to stop processing an incoEPSS 0.5%CVE-2026-19550HIGHFreeipa: ipa: freeipa: trust-fetch-domains uses trust-read aci to gate a privileged ad trust refresh, allowing unauthorized ldap writesEPSS 0.5%CVE-2023-37492MEDIUMMissing Authorization check in SAP NetWeaver AS ABAP and ABAP PlatformEPSS 0.5%CVE-2026-91157HIGHDiscourse: Media uploads remain publicly accessible after category permissions are restrictedEPSS 0.5%CVE-2026-105942HIGHApache Pulsar: Original principal of proxied requests authorized with the proxy's authentication data, allowing privilege escalationEPSS 0.5%CVE-2026-123803HIGHSuperTokens Core: WebAuthn sign-in accepts a passkey across tenant boundariesEPSS 0.5%CVE-2025-43921MEDIUMGNU Mailman 2.1.39, as bundled in cPanel (and WHM), allows unauthenticated attackers to create lists via the /mailman/create endpoint. NOTE:EPSS 0.5%CVE-2023-24471HIGHInformation disclosure via the debug function in assertions in Guardian/CMC before 22.6.2EPSS 0.5%CVE-2024-50310HIGHA vulnerability has been identified in SIMATIC CP 1543-1 V4.0 (6GK7543-1AX10-0XE0) (All versions >= V4.0.44 < V4.0.50). Affected devices do EPSS 0.5%CVE-2024-58260HIGHRancher update on users can deny the service to the adminEPSS 0.5%CVE-2024-39322MEDIUMaimeos/ai-admin-jsonadm improper access control vulnerability allows editors to remove required recordsEPSS 0.5%CVE-2026-25232HIGHGogs has a Protected Branch Deletion Bypass in Web InterfaceEPSS 0.5%CVE-2023-47827MEDIUMWordPress Events Addon for Elementor Plugin <= 2.1.3 is vulnerable to Broken Access ControlEPSS 0.5%CVE-2026-41470HIGHLIVE555 < 2026.04.22 RTSP Server Authorization Bypass via Session TokenEPSS 0.5%