CWE-306
MITRE Отсутствие аутентификации для критической функции
Missing Authentication for Critical Function
CWE-306 — отсутствие аутентификации для критической функции: функция выполняется без проверки личности пользователя. Типичный сценарий — служебный маршрут или порт управления в веб-приложении доступен анонимно, а проверка подлинности сделана только в основном интерфейсе. Злоумышленник без прав запускает привилегированные операции, читает закрытые данные и расходует ресурсы.
Как защититься от CWE-306
Чтобы защититься от CWE-306, разделите систему на анонимную, обычную, привилегированную и административную области и определите, где нужна подтверждённая личность. Подключите централизованную аутентификацию и защитите все каналы взаимодействия, включая второстепенные порты. Дублируйте клиентские проверки на сервере и берите готовые средства аутентификации из фреймворка или операционной системы вместо собственной реализации.
Уязвимости с типом CWE-306 (50)
Н
6.2Уязвимость модулей Агент администрирования и Сервер администрирования средств антивирусной защиты Kaspersky Security Cen2026-10-27 С
7.8Уязвимость системы обнаружения вторжений Snort, связанная с недостатками процедуры аутентификации, позволяющая нарушител2026-10-21 К
9.8Уязвимость компонента Core библиотеки Oracle Application Object Library системы автоматизации деятельности предприятия O2026-10-20 К
9.3Уязвимость демона EasyMeshDaemon (emDaemon) микропрограммного обеспечения беспроводных маршрутизаторов D-Link M60, позво2026-10-18 С
5.5Уязвимость функции оптимизации производительности и работы батареи (Health and Optimized Experiences) операционных систе2026-10-13 В
7.5Уязвимость интегрированной системы управления предприятием Microsoft Dynamics NAV, связанная с отсутствием аутентификаци2026-10-13 К
9.3Уязвимость функции save_settings() компонента Setup Wizard микропрограммного обеспечения маршрутизаторов Linksys E5350, 2026-10-11 К
9.8Уязвимость платформы для развертывания, масштабирования и администрирования веб-приложений Azure App Service for Linux, 2026-10-08 К
9.8Уязвимость локального сервера лицензирования Cisco License On-Prem (ранее Cisco Smart Software Manager On-Prem (SSM On-P2026-10-07 В
8.6Уязвимость веб-приложения phpMyFAQ, связанная с недостатками процедуры аутентификации, позволяющая нарушителю получить н2026-10-03 В
9.1Уязвимость программируемых логических контроллеров Hitachi Energy RTU500 серии CMU, связанная с отсутствием аутентификац2026-09-29 С
5.3Уязвимость платформы управления политиками соединений Cisco Identity Services Engine (ISE), связанная с отсутствием ауте2026-09-16 С
5.3Уязвимость службы Policy Runtime Repository Table (PRRT) платформы управления политиками соединений Cisco Identity Servi2026-09-16 В
8.3Уязвимость системы управления содержимым сайта DIAFAN.CMS, связанная с отсутствием аутентификации для критичной функции,2026-09-08 К
10.0Уязвимость сервиса Azure AI Language Authoring, связанная с отсутствием аутентификации для критичной функции, позволяюща2026-09-08 С
5.5Уязвимость драйвера Windows Cloud Files Mini Filter Driver операционных систем Windows, позволяющая нарушителю обойти су2026-09-08 К
9.3Уязвимость веб-интерфейса микропрограммного обеспечения устройств релейной защиты и автоматики Reyrolle 7SR5, позволяюща2026-09-08 В
8.8Уязвимость встроенного инструмента для измерения пропускной способности канала Bandwidth Test операционной системы Route2026-09-02 В
9.4Уязвимость программного обеспечении для обучающе-контролирующей системы «ОЛИМПОКС», связанная с отсутствием аутентифика2026-09-02 В
8.8Уязвимость веб-интерфейса управления программных средств контроля за печатью в сети PaperCut MF и PaperCut NG, позволяющ2026-08-27 К
10.0Уязвимость платформы сбора данных Crosswork Data Gateway, связанная с недостатками процедуры аутентификации, позволяющая2026-08-19 К
9.8Уязвимость асинхронных систем обмена сообщениями Apache ActiveMQ Artemis и Apache Artemis, связанная с отсутствием аутен2026-08-15 К
10.0Уязвимость веб-интерфейса интеллектуального промышленного шлюза SIMATIC IOT2050 Advanced, позволяющая нарушителю выполни2026-08-11 С
7.8Уязвимость службы удаленного рабочего стола Remote Desktop Services (RDS) операционных систем Windows, позволяющая наруш2026-08-11 С
7.8Уязвимость службы управления удаленным доступом (Remote Access Management service) операционных систем Windows, позволяю2026-08-11 С
7.8Уязвимость диспетчера лицензий Windows License Manager операционных систем Windows, позволяющая нарушителю повысить свои2026-08-11 К
9.8Уязвимость программного обеспечения TrueConf Server, связанная с отсутствием аутентификации для критичной функции, позво2026-08-07 В
8.7Уязвимость программного интерфейса (REST API) программного обеспечения GEO.RITM, связанная с отсутствием аутентификации 2026-08-07 В
10.0Уязвимость облачной службы Azure для управления геопространственными данными Microsoft Planetary Computer Pro, связанная2026-08-06 С
6.9Уязвимость файла src/phpMyFAQ/Controller/Api/SetupController.php веб-приложения phpMyFAQ, позволяющая нарушителю получит2026-08-04 К
9.8Уязвимость компонента Core сервера приложений Oracle WebLogic Server, позволяющая нарушителю получить полный контроль на2026-07-21 В
9.9Уязвимость компонента OUD Core приложения для упрощенного развертывания Oracle Unified Directory программной платформы O2026-07-21 К
9.8Уязвимость компонента Core сервера приложений Oracle WebLogic Server, позволяющая нарушителю получить полный контроль на2026-07-21 К
10.0Уязвимость компонента Rest Service программной платформы для интеграции данных и построения корпоративных хранилищ Oracl2026-07-21 К
9.8Уязвимость компонента Client Bundleпрограммной платформы для автоматического сканирования, распознавания и оцифровки док2026-07-21 К
9.8Уязвимость компонента Core сервера приложений Oracle WebLogic Server, позволяющая нарушителю получить полный контроль на2026-07-21 В
9.9Уязвимость компонента Client Bundle программной платформы для автоматического сканирования, распознавания и оцифровки до2026-07-21 К
9.8Уязвимость компонента Core сервера приложений Oracle WebLogic Server, позволяющая нарушителю получить полный контроль на2026-07-21 В
8.1Уязвимость компонента Core сервера приложений Oracle WebLogic Server, позволяющая нарушителю получить полный контроль на2026-07-21 В
8.8Уязвимость компонента Content Server платформы взаимодействия пользователей Oracle WebCenter Content, позволяющая наруши2026-07-21 К
9.8Уязвимость компонента Core приложения Oracle WebCenter Content: Imaging платформы взаимодействия пользователей Oracle We2026-07-21 К
9.8Уязвимость компонента Client Bundle программной платформы для автоматического сканирования, распознавания и оцифровки до2026-07-21 К
10.0Уязвимость компонента OUD Core приложения для упрощенного развертывания Oracle Unified Directory программной платформы O2026-07-21 К
9.8Уязвимость компонента Core сервера приложений Oracle WebLogic Server, позволяющая нарушителю получить полный контроль на2026-07-21 В
10.0Уязвимость компонента WebLogic Server Proxy Plug-In for Third-Party Web Servers модуля Weblogic Server Proxy Plug-in про2026-07-21 К
9.8Уязвимость компонента Core сервера приложений Oracle WebLogic Server, позволяющая нарушителю получить полный контроль на2026-07-21 К
9.8Уязвимость компонента Messaging Enabler программного обеспечения Service Delivery Platform программной платформы Oracle 2026-07-21 В
8.8Уязвимость компонента Authentication Engine средства управления доступом Oracle Access Manager, позволяющая нарушителю п2026-07-21 К
9.8Уязвимость компонента OIM Legacy UI диспетчера идентификации Oracle Identity Manager программной платформы Oracle Fusion2026-07-21 К
9.8Уязвимость компонента Core сервера приложений Oracle WebLogic Server, позволяющая нарушителю получить полный контроль на2026-07-21Отслеживайте уязвимости автоматически
КиберОснова SGRC: учёт уязвимостей CWE-306 и других типов из БДУ ФСТЭК, задачи на устранение с плановым сроком.
