Falhas do tipo CWE-863

3.043 resultados

Falha em verificação de autorização

O software realiza uma verificação de autorização, mas a implementação está incorreta ou incompleta, permitindo que um atacante contorne as restrições de acesso pretendidas. O erro típico é lógica falha na verificação (condições mal formuladas, casos não tratados) ou confiança em dados do usuário para validar permissões.

Exemplo

Uma aplicação web valida se o usuário está autenticado, mas esquece de checar se ele tem permissão para acessar o recurso específico. Um atacante muda o ID do objeto na URL e acessa dados de outro usuário porque a aplicação não verifica propriedade ou role antes de retornar o conteúdo.

Como mitigar

Implemente verificações de autorização explícitas em todo ponto de acesso a recurso sensível, verificando não apenas quem é o usuário, mas se ele tem permissão específica para aquela ação. Use um modelo de controle de acesso bem definido (RBAC, ABAC) e teste sistematicamente casos de bypass (usuários não autorizados, escalação de privilégio, alteração de parâmetros).

CVE-2026-71234HIGHDocumize Community - Attachment Download Authorization Bypass via Non-Validated secure TokenEPSS 0.4%CVE-2023-28325MEDIUMAn improper authorization vulnerability exists in Rocket.Chat <6.0 that could allow a hacker to manipulate the rid parameter and change the EPSS 0.4%CVE-2024-26145MEDIUMUninvited user is able to join and mark the attendance of the the private eventEPSS 0.4%CVE-2026-81729HIGHDolibarr before 23.0.4 Incorrect Authorization on REST API Document DeletionEPSS 0.4%CVE-2026-33031HIGHNginx-UI: Disabled users retain full API access through previously issued bearer tokensEPSS 0.4%CVE-2026-67411MEDIUMRabbitMQ: Web MQTT with PROXY Protocol enabled: a loopback-only user permission bypassEPSS 0.4%CVE-2025-48475MEDIUMFreeScout Vulnerable to Insufficient AuthorizationEPSS 0.4%CVE-2024-10295HIGHGateway: apicast basic auth bypass via malformed base64 headerssending non-base64 'basic' auth with special characters causes apicast to incorrectly authenticate a requestEPSS 0.4%CVE-2026-92992MEDIUMDromara mayfly-go AI Assistant ai.go authorizationEPSS 0.4%CVE-2022-45435MEDIUMSailPoint IdentityIQ Access Control BypassEPSS 0.4%CVE-2026-32946MEDIUMEgress Policy Bypass via DNS over TCP in Harden-Runner (Community Tier)EPSS 0.4%CVE-2026-62904MEDIUMMicrosoft Edge (Chromium-based) Information Disclosure VulnerabilityEPSS 0.4%CVE-2026-2619MEDIUMIncorrect Authorization in GitLabEPSS 0.4%CVE-2025-62648MEDIUMThe Restaurant Brands International (RBI) assistant platform through 2025-09-06 allows remote attackers to adjust Drive Thru speaker audio vEPSS 0.4%CVE-2025-49549LOWAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 0.4%CVE-2024-21149HIGHVulnerability in the Oracle Enterprise Asset Management product of Oracle E-Business Suite (component: Work Definition Issues). Supported vEPSS 0.4%CVE-2024-3379CRITICALIncorrect Authorization in lunary-ai/lunaryEPSS 0.4%CVE-2026-60083MEDIUMSiYuan before v3.8.0 Incomplete Path Blocklist via MCP file toolEPSS 0.4%CVE-2026-26328MEDIUMOpenClaw iMessage group allowlist authorization inherited DM pairing-store identitiesEPSS 0.4%CVE-2026-56268MEDIUMFlowise - Cross-Workspace Information Disclosure via chatflows/apikey EndpointEPSS 0.4%