CWE-863КлассНеполный
Некорректная авторизация
Продукт выполняет проверку авторизации при попытке субъекта получить доступ к ресурсу или выполнить действие, однако не осуществляет эту проверку корректно.
Открыть в каталоге с фильтром CWE →Связанные CAPEC
—
Связанные уязвимости
CVE-2026-48303Adobe Campaign Classic (ACC) версии 7.4.3 build 9394 и ранее подвержены влиянии уязвимости некорректной авторизации, которая может привести к произвольному исполнению кода в контексте текущего пользователя. Эксплуатация этой проблемы не требует взаимодействия с пользователем. Сфера охвата изменена.
CVE-2026-46595Ранее CVE-2024-45337 фиксировал авторизационный обход для неправильно используемых конфигураций ssh-сервера; если любой другой тип обратного вызова передается, кроме публичного ключа, то проверка исходного адреса будет пропущена.
CVE-2026-44330Free5GC - это реализация с открытым исходным кодом базовой сети 5G. До 4.2.2, Free5GC's NEF управляет группой маршрутов управления nofdfd без входящей авторизации OAuth2/предвестника. Сетевой злоумышленник, который может достичь NEF на SBI, может использовать поддельный или произвольный токен наносителей (например. Авторизация: Несущий не-реальный-токен) для чтения данных приложения PFD через GET /applications и GET /applications/{appID}, а также для создания или удаления подписок с изменениями PFD через POST /subscriptions и DELETE /subscriptions/{subID}. Тая же первопричина, что и другие выводы NEF SBI: группа маршрутов монтируется без какого-либо входящей промежуточной программы. В отличие от OAM и групп влияния на трафик, управление НПФ-управления декларированы в ServiceList, так что это путь, предназначенный для производства, который операторы ожидают, что он будет защищен настройкой OAuth2, который получает от NRF: верно - и это не так. Эта уязвимость зафиксирована в 4.2.2.
CVE-2025-54253Уязвимость конфигурации Adobe Experience Manager версий 6.5.23 и ранее может привести к выполнению произвольного кода. Злоумышленник может воспользоваться этой уязвимостью для обхода механизмов безопасности и выполнения кода. Эксплуатация этой проблемы не требует взаимодействия с пользователем, а область воздействия изменена [1].
Источники:
- [1] https://helpx.adobe.com/security/products/aem-forms/apsb25-82.html
CVE-2023-4617Уязвимость неправильной авторизации в методе HTTP POST в приложении Govee Home на Android и iOS позволяет удаленному злоумышленнику управлять устройствами, принадлежащими другим пользователям, путем изменения значений полей "device", "sku" и "type". Эта проблема затрагивает приложения Govee Home на Android и iOS в версиях до 5.9.
CVE-2021-38503Правила песочницы iframe были применены неправильно к таблицам стилей XSLT, что позволило iframe обходить ограничения, такие как выполнение сценариев или навигация по фрейму верхнего уровня. Эта уязвимость затрагивает Firefox < 94, Thunderbird < 91.3 и Firefox ESR < 91.3.
CVE-2021-31921Istio версий до 1.8.6 и 1.9.x до 1.9.5 содержит удаленно эксплуатируемую уязвимость, при которой внешний клиент может получить доступ к неожиданным службам в кластере, обходя проверки авторизации, когда шлюз настроен с конфигурацией маршрутизации AUTO_PASSTHROUGH.
CVE-2020-13300GitLab CE/EE версии 13.3 до 13.3.4 был уязвим для изменения области авторизации OAuth без согласия пользователя в середине потока авторизации.
CVE-2026-43999vm2 - это vm/sandbox с открытым исходным кодом для Node.js. До 3.11.0 встроенный разрешитель NodeVM может быть обойден, когда включен модуль разрешен (в том числе через wild card '*'). Встроенный модуль обнажает модуль Node._load(), который загружает любой модуль по имени непосредственно в контексте хоста, полностью минуя встроенное ограничение vm2. Это позволяет песочковому коду загружать исключенные встроенные встроенные встроенные встроенные файлы, такие как child_process, и достигать удаленного выполнения кода. Эта уязвимость исправлена в 3.11.0.
CVE-2026-43948wger - это бесплатный менеджер по тренировкам с открытым исходным кодом и фитнес-менеджером. До 2.6 reset_user_password и тренажерный зал_permissions_user_edit просматривается в гере, выполняя проверку авторизации тренажерного зала, используя сравнение (!=) объектов Python, которое оценивает None != None как False, молча обходя охранника, когда как злоумышленник, так и жертва не имеют назначения в тренажерном зале (Gym = None). Пользователь с разрешением gym.manage_gym и тренажерным залом = Никто не может сбросить пароль любого другого тренажерного зала = Нет пользователя; новый пароль открытого текста возвращается дословно в органе ответа HTML, что позволяет полностью захватить учетную запись. Оригинальный пароль жертвы признан недействительным, блокируя их навсегда. Эта уязвимость зафиксирована в 2.6.
CVE-2026-41283OpenStack Mistral до 22.0.0 позволяет выполнять произвольные удаленные коды при воздействии API. Существуют конечные точки, которые позволяют выполнять код, что может привести к эксфильтрации учетных данных службы.
CVE-2026-41050Развертыш Руля Fleet не полностью применял олицетворение ServiceAccount в двух кодовых путях, что позволило арендатору с git push-доступом к хранилищу, контролируемому Fleet, читать секреты из любого пространства имен в каждом кластере ниже по течению, на который нацелен их `GitRepo`.
CVE-2026-30965Parse Server - это бэкэнд с открытым исходным кодом, который может быть развернут в любой инфраструктуре, которая может запускать Node.js. До 9.5.2-альфа.8 и 8.6.21 уязвимость в обработке запросов Parse Server позволяет аутентифицированному или неаутентифицированному злоумышленнику эксфильтровать сессионные токены других пользователей, используя параметр запроса redirectClassNameForKey. Эксфильтрационные сессионные токены могут использоваться для захвата учетных записей пользователей. Уязвимость требует, чтобы злоумышленник мог создавать или обновлять объект с новым полем отношения, которое зависит от Разрешений классового уровня по меньшей мере одного класса. Эта уязвимость зафиксирована в пунктах 9.5.2-альфа.8 и 8.6.21.
CVE-2025-21556Уязвимость в продукте Oracle Agile PLM Framework из Oracle Supply Chain (компонент: Agile Integration Services). Уязвимой является поддерживаемая версия 9.3.6. Легко эксплуатируемая уязвимость позволяет злоумышленнику с низкими привилегиями, имеющему сетевой доступ через HTTP, скомпрометировать Oracle Agile PLM Framework. Хотя уязвимость находится в Oracle Agile PLM Framework, атаки могут значительно повлиять на дополнительные продукты (изменение области действия). Успешные атаки этой уязвимости могут привести к захвату Oracle Agile PLM Framework. CVSS 3.1 Base Score 9.9 (воздействие на конфиденциальность, целостность и доступность). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).
CVE-2025-0781Злоумышленник может обойти укрытие скриптов Nasal и произвольно записывать в любой путь файла, который пользователь имеет право изменять на уровне операционной системы.