Falhas do tipo CWE-863

3.888 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2026-96680MEDIUMByteDance Coze Scraper Extension External Message index.js chrome.runtime.onMessageExternal.addListener authorizationEPSS 0.4%CVE-2024-21267HIGHVulnerability in the Oracle Cost Management product of Oracle E-Business Suite (component: Cost Planning). Supported versions that are affeEPSS 0.4%CVE-2024-21266HIGHVulnerability in the Oracle Advanced Pricing product of Oracle E-Business Suite (component: Price List). Supported versions that are affectEPSS 0.4%CVE-2024-21268HIGHVulnerability in the Oracle Applications Manager product of Oracle E-Business Suite (component: Diagnostics). Supported versions that are aEPSS 0.4%CVE-2026-66064MEDIUMgoshs has ACL Bypass & Path TraversalEPSS 0.4%CVE-2024-21280HIGHVulnerability in the Oracle Service Contracts product of Oracle E-Business Suite (component: Authoring). Supported versions that are affectEPSS 0.4%CVE-2025-3879MEDIUMVault’s Azure Authentication Method bound_location Restriction Could be Bypassed on LoginEPSS 0.4%CVE-2024-55965MEDIUMAn issue was discovered in Appsmith before 1.51. Users invited as "App Viewer" incorrectly have access to development information of a worksEPSS 0.4%CVE-2024-21276HIGHVulnerability in the Oracle Work in Process product of Oracle E-Business Suite (component: Messages). Supported versions that are affected EPSS 0.4%CVE-2025-8435MEDIUMcode-projects Online Movie Streaming admin-control.php authorizationEPSS 0.4%CVE-2026-84354CRITICALIncorrect authorization in FileSystem in Google Chrome prior to 152.0.7977.75 allowed a remote attacker leveraging social engineering to exeEPSS 0.4%CVE-2024-51425HIGHAn issue in the WaterToken smart contract (which can be run on the Ethereum blockchain) allows remote attackers to have an unspecified impacEPSS 0.4%CVE-2023-42553MEDIUMImproper authorization verification vulnerability in Samsung Email prior to version 6.1.90.4 allows attackers to read sandbox data of email.EPSS 0.4%CVE-2026-63296CRITICALProject restriction bypass via instance migration config overrideEPSS 0.4%CVE-2026-87492CRITICALIncorrect authorization in DevTools in Google Chrome prior to 153.0.8010.36 allowed a remote attacker to potentially execute arbitrary code EPSS 0.4%CVE-2023-23751MEDIUM[20230102] - Core - Missing ACL checks for com_actionlogsEPSS 0.4%CVE-2026-62941CRITICALIncus: Cross-project instance copy bypasses target project restrictions via TOCTOU in config mergeEPSS 0.4%CVE-2024-39323HIGHaimeos/ai-admin-graphql improper access control vulnerability allows an editor to modify admin accountEPSS 0.4%CVE-2026-88862HIGHCapgo API Key Manager Authentication Bypass via x-limited-key-idEPSS 0.4%CVE-2026-114633HIGHWWBN AVideo before 29.4.0 Incorrect Authorization via confirmDeleteUser.json.phpEPSS 0.4%