Fallos del tipo CWE-863

2373 resultados

Falha na verificação de autorização

O software implementa uma verificação de acesso, mas a lógica está incorreta ou incompleta, permitindo que um usuário acesse recursos ou execute ações que não deveria. O risco é grave porque a autenticação (você é quem diz ser) pode estar correta, mas a autorização (você tem direito a isto?) falha, abrindo brechas para escalação de privilégios ou acesso a dados sensíveis.

Ejemplo

Uma API verifica se o usuário está logado antes de retornar dados de perfil, mas não valida se ele é dono do perfil consultado. Um atacante consegue acessar dados de outros usuários apenas mudando um ID na requisição. Ou um sistema de permissões usa condições OR quando deveria usar AND, liberando acesso para mais atores que o pretendido.

Cómo mitigar

Implemente controle de acesso a cada operação sensível verificando explicitamente se o usuário autenticado tem permissão específica para aquele recurso (não assuma contexto). Use bibliotecas de autorização consolidadas, testes unitários que validem negação de acesso, e revise a lógica de permissões regularmente, especialmente em APIs e operações administrativas.

CVE-2025-34273HIGHNagios Log Server < 2024R2.0.3 Non-Admin Dashboard DeletionEPSS 1.0%CVE-2019-6855—Incorrect Authorization vulnerability exists in EcoStruxure Control Expert (all versions prior to 14.1 Hot Fix), Unity Pro (all versions), MEPSS 1.0%CVE-2021-32779HIGHIncorrectly handling of URI '#fragment' element as part of the path elementEPSS 0.9%CVE-2024-42062HIGHApache CloudStack: User Key Exposure to Domain AdminsEPSS 0.9%CVE-2021-32163CRITICALAuthentication vulnerability in MOSN v.0.23.0 allows attacker to escalate privileges via case-sensitive JWT authorization.EPSS 0.9%CVE-2023-45626MEDIUMAn authenticated vulnerability has been identified allowing an attacker to effectively establish highly privileged persistent arbitrary codeEPSS 0.9%CVE-2023-49734HIGHApache Superset: Privilege Escalation VulnerabilityEPSS 0.9%CVE-2023-33779HIGHA lateral privilege escalation vulnerability in XXL-Job v2.4.1 allows users to execute arbitrary commands on another user's account via a crEPSS 0.9%CVE-2020-25239—A vulnerability has been identified in SINEMA Remote Connect Server (All versions < V3.0). The webserver could allow unauthorized actions viEPSS 0.9%CVE-2021-24244—WPBakery Page Builder Clipboard < 4.5.8 - Unauthorised Arbitrary License Options UpdateEPSS 0.9%CVE-2023-25547HIGH A CWE-863: Incorrect Authorization vulnerability exists that could allow remote code execution on upload and install packages when a hackerEPSS 0.9%CVE-2023-3459HIGHExport and Import Users and Customers <= 2.4.1 - Missing Authorization to Authenticated (Shop Manager) Arbitrary User Password ChangeEPSS 0.9%CVE-2023-27954MEDIUMThe issue was addressed by removing origin information. This issue is fixed in macOS Ventura 13.3, Safari 16.4, iOS 16.4 and iPadOS 16.4, iOEPSS 0.9%CVE-2022-42351MEDIUMAEM Incorrect Authorization Security feature bypassEPSS 0.9%CVE-2019-3848MEDIUMA vulnerability was found in moodle before versions 3.6.3, 3.5.5 and 3.4.8. Permissions were not correctly checked before loading event infoEPSS 0.9%CVE-2023-22248HIGHAdobe Commerce Incorrect Authorization Security feature bypassEPSS 0.9%CVE-2021-24851—Insert Pages < 3.7.0 - Contributor+ Arbitrary Posts/Pages AccessEPSS 0.9%CVE-2024-41140HIGHImproper AuthorizationEPSS 0.9%CVE-2018-8927MEDIUMImproper authorization vulnerability in SYNO.Cal.Event in Calendar before 2.1.2-0511 allows remote authenticated users to create arbitrary eEPSS 0.9%CVE-2023-41314—Apache Doris: Missing API authentication allowed DoSEPSS 0.9%