Falhas do tipo CWE-863

3.888 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2026-80515HIGHIn Eclipse Arrowhead versions from 5.0.0 to 5.2.1 the management-authorization gate that protects every /…/mgmt/… REST endpoint decides whetEPSS 0.5%CVE-2026-49989HIGHCrateDB's Blob HTTP handler bypasses authorizationEPSS 0.5%CVE-2024-50647HIGHThe python_food ordering system V1.0 has an unauthorized vulnerability that leads to the leakage of sensitive user information. Attackers caEPSS 0.5%CVE-2026-30947HIGHParse Server ha a bypass of class-level permissions in LiveQueryEPSS 0.5%CVE-2026-50749MEDIUMApache Answer: Missing authorization in revision audit reject allows authenticated users to reject pending revisionsEPSS 0.5%CVE-2026-76391HIGHImproper Privilege Management through Agent Run History in Splunk AI ToolkitEPSS 0.5%CVE-2023-2515MEDIUMPrivilege escalation to system admin via personal access tokensEPSS 0.5%CVE-2026-15630CRITICALCVE-2026-15630EPSS 0.5%CVE-2026-49473HIGH@cedar-policy/authorization-for-expressjs has an authorization bypass via query string manipulationEPSS 0.5%CVE-2026-72524HIGHApache Doris: Authorization bypass allowing a low-privilege user to read/write/drop arbitrary tablesEPSS 0.5%CVE-2026-118598MEDIUMepiphany: clipboard/website-data permission prompt incorrectly grants camera and microphone accessEPSS 0.5%CVE-2026-106511CRITICALCVE-2026-106511EPSS 0.5%CVE-2024-4006MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2023-51380LOWIncorrect Authorization allows Read Access to Issue Comments in GitHub Enterprise ServerEPSS 0.5%CVE-2023-4658LOWIncorrect Authorization in GitLabEPSS 0.5%CVE-2026-26012MEDIUMvaultwarden has Full Cipher Enumeration Ignoring Organization Collection PermissionsEPSS 0.5%CVE-2026-39903HIGHSimple Machines Forum Authorization Bypass via AttachmentApprove.phpEPSS 0.5%CVE-2024-48176CRITICALLylme Spage v1.9.5 is vulnerable to Incorrect Access Control. There is no limit on the number of login attempts, and the verification code wEPSS 0.5%CVE-2026-71315HIGHNuxt route rules silently dropped for mixed-case paths, bypassing appMiddleware auth gates (incomplete fix for CVE-2026-53721)EPSS 0.5%CVE-2026-58427HIGHPrivate org member list leaked via /members API endpoint — incomplete fix for PR #38145EPSS 0.5%