Falhas do tipo CWE-286

32 resultados

Gestão incorreta de usuários

É quando a aplicação falha em validar, autenticar ou autorizar usuários corretamente — permitindo acesso não autorizado, criação de contas fantasma ou escalação de privilégios. O risco é que um atacante contorne mecanismos de controle de acesso e execute ações com privilégios que não deveria ter.

Exemplo

Um sistema que não verifica se o usuário que está alterando uma senha é realmente o proprietário da conta, ou que permite criar múltiplas contas administrativas sem validação de identidade. Outro caso: API que não valida tokens expirados e continua aceitando requisições antigas.

Como mitigar

Implemente validação rigorosa em todo fluxo de autenticação (login, reset de senha, criação de conta), use frameworks consolidados para autenticação e autorização, mantenha logs auditáveis de operações sensíveis, e revise periodicamente permissões e contas ativas. Teste penetração em fluxos de user management é essencial.

CVE-2024-29296MEDIUMA user enumeration vulnerability was found in Portainer CE 2.19.4. This issue occurs during user authentication process, where a difference EPSS 1.2%CVE-2023-3932MEDIUMIncorrect User Management in GitLabEPSS 0.9%CVE-2022-32260MEDIUMA vulnerability has been identified in SINEMA Remote Connect Server (All versions < V3.2 SP1). The affected application creates temporary usEPSS 0.7%CVE-2021-26262MEDIUMPhilips MRI 1.5T and 3T Improper Access ControlEPSS 0.6%CVE-2023-26689CRITICALAn issue discovered in CS-Cart MultiVendor 4.16.1 allows attackers to alter arbitrary user account profiles via crafted post request.EPSS 0.6%CVE-2023-0857MEDIUMUnintentional change of settings during initial registration of system administrators which uses control protocols. The affected Office / SmEPSS 0.6%CVE-2023-3907MEDIUMImproper User Management in GitLabEPSS 0.6%CVE-2022-35503HIGHImproper verification of a user input in Open Source MANO v7-v12 allows an authenticated attacker to execute arbitrary code within the LCM mEPSS 0.5%CVE-2025-7972HIGHRockwell Automation FactoryTalk® Linx Network Browser Security Bypass VulnerabilityEPSS 0.5%CVE-2024-27269MEDIUMIBM QRadar SIEM information disclosureEPSS 0.4%CVE-2024-46671MEDIUMAn Incorrect User Management vulnerability [CWE-286] in FortiWeb version 7.6.2 and below, version 7.4.6 and below, version 7.2.10 and below,EPSS 0.4%CVE-2025-59943HIGHphpMyFAQ duplicate email registration allows multiple accounts with the same emailEPSS 0.4%CVE-2024-28020HIGHA user/password reuse vulnerability exists in the FOXMAN-UN/UNEM application and server management. If exploited a malicious high-privilegedEPSS 0.4%CVE-2023-3914MEDIUMIncorrect User Management in GitLabEPSS 0.4%CVE-2023-3115MEDIUMIncorrect User Management in GitLabEPSS 0.3%CVE-2024-48853CRITICALAuthenticated Escalation to guest to rootEPSS 0.3%CVE-2025-64725LOWWeblate has improper validation upon invitation acceptanceEPSS 0.3%CVE-2024-45425MEDIUMZoom Workplace Apps - Incorrect User ManagementEPSS 0.3%CVE-2022-45857MEDIUMAn incorrect user management vulnerability [CWE-286] in the FortiManager version 6.4.6 and below VDOM creation component may allow an attackEPSS 0.3%CVE-2024-52359MEDIUMIBM Concert Software improper access controlsEPSS 0.3%