Base de CVEs

The AdForest theme for WordPress is vulnerable to authentication bypass in all versions up to, and including, 6.0.12. This is due to the plugin not properly verifying a user's identity prior to authenticating them through the 'sb_login_user_with_otp_fun' function. This makes it possible for unauthenticated attackers to log in as arbitrary users, including administrators.

Authentication for ZLAN5143D can be bypassed by directly accessing internal URLs.

An unprotected API endpoint allows an attacker to remotely change the device password without providing authentication.

No JetBrains Hub antes da versão 2025.3.119807, era possível um bypass de autenticação que permitia ações administrativas.

O C&Cm@il desenvolvido pela HGiga apresenta uma vulnerabilidade de Falta de Autenticação, permitindo que atacantes remotos não autenticados leiam e modifiquem o conteúdo de e-mails de qualquer usuário.

Foi identificada uma fraqueza no detronetdip E-commerce 1.0.0. É afetada uma função desconhecida do arquivo /Admin/assets/backend/seller/add_seller.php do componente Account Creation Endpoint. A manipulação do argumento email pode levar à falta de autenticação. O ataque pode ser executado remotamente. O exploit foi disponibilizado ao público e pode ser usado em ataques. O projeto foi informado do problema cedo por meio de um relato de issue, mas ainda não respondeu.

Bambuddy é um sistema self-hosted de arquivo e gerenciamento de impressões para impressoras 3D Bambu Lab. Antes da versão 0.1.7, uma chave secreta codificada no código-fonte, usada para assinar JWTs, é versionada no código e as rotas ManyAPI não verificam autenticação. Este problema foi corrigido na versão 0.1.7.

O adaptador serial para ethernet Synectix LAN 232 TRIO 3-Port expõe sua interface web de gerenciamento sem exigir autenticação, permitindo que usuários não autenticados modifiquem configurações críticas do equipamento ou realizem a restauração de fábrica do dispositivo.

A MOMA Seismic Station na versão v2.4.2520 e anteriores expõe sua interface web de gerenciamento sem exigir autenticação, o que poderia permitir que um atacante não autenticado modifique configurações, obtenha dados do dispositivo ou reinicie o equipamento remotamente.

O Avation Light Engine Pro expõe sua interface de configuração e controle sem qualquer autenticação ou controle de acesso.

The NixOs Odoo package is an open source ERP and CRM system. From 21.11 to before 25.11 and 26.05, every NixOS based Odoo setup publicly exposes the database manager without any authentication. This allows unauthorized actors to delete and download the entire database, including Odoos file store. Unauthorized access is evident from http requests. If kept, searching access logs and/or Odoos log for requests to /web/database can give indicators, if this has been actively exploited. The database manager is a featured intended for development and not meant to be publicly reachable. On other setups, a master password acts as 2nd line of defence. However, due to the nature of NixOS, Odoo is not able to modify its own configuration file and thus unable to persist the auto-generated password. This also applies when manually setting a master password in the web-UI. This means, the password is lost when restarting Odoo. When no password is set, the user is prompted to set one directly via the database manager. This requires no authentication or action by any authorized user or the system administrator. Thus, the database is effectively world readable by anyone able to reach Odoo. This vulnerability is fixed in 25.11 and 26.05.

Um atacante remoto não autenticado pode obter acesso total aos dispositivos afetados, pois eles são entregues sem senha por padrão e a definição de uma senha não é imposta.

Uma vulnerabilidade de falta de autenticação para função crítica no endpoint /servlet/baServer3 do Interinfo DreamMaker, nas versões anteriores a 22/10/2025, permite que atacantes remotos acessem funcionalidades administrativas expostas sem autenticação prévia.

Uma vulnerabilidade de ausência de autenticação para função crítica na série KiloView Encoder poderia permitir que um atacante não autenticado crie ou exclua contas de administrador. Esta vulnerabilidade pode conceder ao atacante controle administrativo total sobre o produto.