Falhas do tipo CWE-863

3.888 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2025-15406MEDIUMPHPGurukul Online Course Registration authorizationEPSS 0.5%CVE-2026-62354HIGHApache NiFi: Incorrect Authorization for Parameter Context Validation RequestsEPSS 0.5%CVE-2025-3475MEDIUMWEB-T - Moderately critical - Access bypass, Denial of service - SA-CONTRIB-2025-030EPSS 0.5%CVE-2026-24480HIGHQGIS had validated RCE and Repository Takeover via GitHub ActionsEPSS 0.5%CVE-2026-82062HIGHImproper Authorization in MongoDB Server applyOps Command Allows Writes to Arbitrary Internal Storage Tables via Feature Gate BypassEPSS 0.5%CVE-2026-45414HIGHDecidim: JWT-backed authentication can be replayed across organizationsEPSS 0.5%CVE-2026-100744MEDIUMcoollabsio Coolify Route-Level Middleware CanUpdateResource.php authorizationEPSS 0.5%CVE-2023-3920MEDIUMIncorrect Authorization in GitLabEPSS 0.5%CVE-2022-3978MEDIUMNodeBB abort cross-site request forgeryEPSS 0.5%CVE-2023-50811MEDIUMAn issue discovered in SELESTA Visual Access Manager 4.38.6 allows attackers to modify the “computer” POST parameter related to the ID of a EPSS 0.5%CVE-2026-17343HIGHMultiple Vulnerabilities in IBM API ConnectEPSS 0.5%CVE-2018-25353HIGHRedaxo CMS Mediapool Addon 5.5.1 Arbitrary File UploadEPSS 0.5%CVE-2026-105930MEDIUMApache Pulsar: Improper Authorization of Function, Source and Sink Package URLs Allows Cross-Tenant Package DownloadEPSS 0.5%CVE-2024-45131MEDIUMAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.5%CVE-2022-38475MEDIUMAn attacker could have written a value to the first element in a zero-length JavaScript array. Although the array was zero-length, the valueEPSS 0.5%CVE-2026-27761MEDIUMGitea repository feeds bypass API token scope enforcementEPSS 0.5%CVE-2025-71390MEDIUMSurrealDB before 2.3.6 deny-net Bypass via DNS ResolutionEPSS 0.5%CVE-2026-78134HIGHstrongSwan 4.5.0 through 6.0.7 has Incorrect Access Control in the eap-ttls and eap-peap plugins because there can be a missing or mismatcheEPSS 0.5%CVE-2026-62228HIGHOpenClaw < 2026.6.5 Authorization Bypass via Node Exec ApprovalsEPSS 0.5%CVE-2026-62223HIGHOpenClaw < 2026.5.18 Authorization Bypass via Device-pairEPSS 0.5%