Falhas do tipo CWE-863

3.888 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2026-70452CRITICALrsync 3.1.0 < 3.5.0 Access Control Bypass via DNS Resolution FailureEPSS 0.4%CVE-2026-17378HIGHMultiple Vulnerabilities in IBM API ConnectEPSS 0.4%CVE-2026-17373HIGHMultiple Vulnerabilities in IBM API ConnectEPSS 0.4%CVE-2026-57953MEDIUMMythic < 3.4.0.60 - Unauthorized Automation Workflow Modification via eventing_import_automatic_webhook EndpointEPSS 0.4%CVE-2026-56854HIGHSource-address critical option not enforced for non-public-key auth callbacks in golang.org/x/crypto/sshEPSS 0.4%CVE-2026-105927LOWApache Pulsar: Improper authorization of WebSocket consumer dead letter topic allows writes without PRODUCE permissionEPSS 0.4%CVE-2026-41280MEDIUMApache DolphinScheduler: Incorrect Authorization vulnerability allows users with system login privileges to delete task definitions in unauthorized projectsEPSS 0.4%CVE-2026-53577MEDIUMKestra: Cross-Execution File Read via Preview Endpoint (IDOR)EPSS 0.4%CVE-2023-31403CRITICALImproper Access Control vulnerability in SAP Business One product installationEPSS 0.4%CVE-2026-82272HIGHImmich Locked Assets Remain Readable Through Albums and Shared LinksEPSS 0.4%CVE-2026-106623HIGHColdFusion | Incorrect Authorization (CWE-863)EPSS 0.4%CVE-2026-75157HIGHApache Airflow: Asset queued-events DELETE endpoints gated on Dag READ instead of Dag EDIT (asset-triggered scheduling suppression)EPSS 0.4%CVE-2026-92771HIGHTwenty before 2.35.0 Permission Bypass via groupBy-with-records QueryEPSS 0.4%CVE-2026-90929HIGHFile Browser 2.5.0 Directory Deletion via Upload Failure CleanupEPSS 0.4%CVE-2026-34660CRITICALAdobe Connect | Incorrect Authorization (CWE-863)EPSS 0.4%CVE-2026-91778HIGHIn affected versions of Octopus Server, users with certain scoped permission sets could execute arbitrary scripts on a worker (including theEPSS 0.4%CVE-2024-22031HIGHRancher users who can create Projects can gain access to arbitrary projectsEPSS 0.4%CVE-2023-5159LOWA User Manager role with user edit permissions could manage/update botsEPSS 0.4%CVE-2026-22042MEDIUMRustFS has IAM Incorrect Authorization in ImportIam that Allows Privilege EscalationEPSS 0.4%CVE-2026-2712MEDIUMWP-Optimize <= 4.5.0 - Missing Authorization to Authenticated (Subscriber+) Plugin Settings Update and Image ManipulationEPSS 0.4%