{"id":4702,"date":"2026-10-02T10:00:08","date_gmt":"2026-10-02T13:00:08","guid":{"rendered":"https:\/\/aiqon.com.br\/blog\/?p=4702"},"modified":"2026-09-18T11:00:28","modified_gmt":"2026-09-18T14:00:28","slug":"vulnerabilidades-de-api-2025","status":"publish","type":"post","link":"https:\/\/aiqon.com.br\/blog\/vulnerabilidades-de-api-2025\/","title":{"rendered":"As 5 Principais Vulnerabilidades de API em 2025 pela APISecurity.io"},"content":{"rendered":"
<\/div>
\n
\n

Vulnerabilidade n\u00ba 1: Aus\u00eancia de Autentica\u00e7\u00e3o (Missing Authentication)<\/b><\/h3>\n

Nossa vulnerabilidade de API mais frequente este ano foi a Aus\u00eancia de Autentica\u00e7\u00e3o. Tratam-se de APIs que n\u00e3o exigem autentica\u00e7\u00e3o para opera\u00e7\u00f5es sens\u00edveis, permitindo que usu\u00e1rios an\u00f4nimos acessem dados ou executem a\u00e7\u00f5es que deveriam ser restritas a usu\u00e1rios autenticados.<\/p>\n

Em 2024, essa foi a nossa quinta vulnerabilidade mais relatada. Em 2025, ela subiu para a primeira posi\u00e7\u00e3o, representando 17% de todos os incidentes de API cobertos.<\/p>\n

Um caso de mar\u00e7o<\/a> ilustra o impacto da aus\u00eancia de autentica\u00e7\u00e3o, quando dados de pacientes no sistema de sa\u00fade do Reino Unido foram supostamente expostos por meio de uma API sem autentica\u00e7\u00e3o. E em agosto<\/a>, cobrimos um problema semelhante na Intel, onde um endpoint de API getAccessToken<\/code> retornava tokens v\u00e1lidos sem exigir nenhuma autentica\u00e7\u00e3o.<\/p>\n

Manter o controle dos seus endpoints de API e verificar continuamente os controles de autentica\u00e7\u00e3o, tanto na pr\u00e9-produ\u00e7\u00e3o quanto em produ\u00e7\u00e3o, pode ajudar as equipes de API a capturar e corrigir essa vulnerabilidade.<\/p>\n

Vulnerabilidade n\u00ba 2: Quebra de Autoriza\u00e7\u00e3o em N\u00edvel de Objeto (Broken Object Level Authorization – BOLA)<\/b><\/h3>\n

A Quebra de Autoriza\u00e7\u00e3o em N\u00edvel de Objeto, ou BOLA, ficou em segundo lugar na nossa lista de incidentes frequentes em APIs. O BOLA ocorre quando uma API falha em verificar se um usu\u00e1rio tem permiss\u00e3o para acessar um objeto espec\u00edfico. Os atacantes exploram essa vulnerabilidade de autoriza\u00e7\u00e3o manipulando identificadores nas requisi\u00e7\u00f5es da API, como IDs de usu\u00e1rio, n\u00fameros de conta ou outros identificadores de recursos, na tentativa de acessar dados de outros usu\u00e1rios. Isso se tornou uma t\u00e1tica padr\u00e3o para hackers de API e \u00e9 algo que os desenvolvedores devem estar atentos.<\/p>\n

Vimos muitos casos de incidentes de BOLA em 2025. Um exemplo da nossa edi\u00e7\u00e3o de setembro<\/a> envolveu inversores da Growatt usados em sistemas solares industriais e comerciais. Uma falha de BOLA na API permitiu que hackers assumissem o controle de dispositivos IoT movidos a energia solar dentro das casas dos usu\u00e1rios.<\/p>\n

\n

“A API defeituosa aceita um par\u00e2metro de ID de dispositivo sem verificar se o usu\u00e1rio atual est\u00e1 autorizado para aquele dispositivo, um caso de livro sobre Quebra de Autoriza\u00e7\u00e3o em N\u00edvel de Objeto.”<\/i><\/p>\n<\/blockquote>\n

Tamb\u00e9m em setembro<\/a>, analisamos as descobertas de um pesquisador sobre uma vulnerabilidade BOLA no site do Imposto sobre Bens e Servi\u00e7os (GST) da \u00cdndia. Ao manipular requisi\u00e7\u00f5es de API, os usu\u00e1rios conseguiam acessar informa\u00e7\u00f5es fiscais de empresas privadas que n\u00e3o deveriam estar acess\u00edveis para eles.<\/p>\n

As verifica\u00e7\u00f5es de autoriza\u00e7\u00e3o para recursos individuais s\u00e3o, geralmente, detalhadas demais para serem delegadas a plataformas centralizadas, como API Gateways ou produtos de IAM. Portanto, a responsabilidade recai sobre os desenvolvedores de API para implementar as verifica\u00e7\u00f5es adequadas no pr\u00f3prio endpoint da API.<\/p>\n

\"\"<\/p>\n

Vulnerabilidade n\u00ba 3: Exposi\u00e7\u00e3o Excessiva de Dados (Excessive Data Exposure)<\/b><\/h3>\n

A maioria dos vazamentos de dados via API que vimos este ano envolveu a exposi\u00e7\u00e3o de propriedades inesperadas ou n\u00e3o autorizadas nas respostas da API. Isso se alinha com a categoria API3:2023<\/a> da OWASP, Broken Object Property Level Authorization<\/i> (embora eu ache que o nome anterior de 2019, Excessive Data Exposure<\/i>, ainda descreva o problema de forma mais clara).<\/p>\n

A exposi\u00e7\u00e3o excessiva de dados ocorre quando uma API retorna mais propriedades do que o necess\u00e1rio. Isso inclui retornar objetos ou registros completos quando apenas um subconjunto de campos \u00e9 exigido, ou falhar ao filtrar propriedades sens\u00edveis antes de enviar a resposta.<\/p>\n

Em maio<\/a>, cobrimos um caso envolvendo o sistema de ve\u00edculos conectados da Volkswagen. Um pesquisador descobriu que uma resposta de API retornava informa\u00e7\u00f5es de que o aplicativo n\u00e3o precisava, incluindo credenciais e senhas em texto puro. E em outubro<\/a>, relatamos o caso de um portal de cadastro para pilotos de F\u00f3rmula 1 que vazou dados excessivos em uma resposta de API, dando aos pesquisadores contexto suficiente para descobrir uma vulnerabilidade de eleva\u00e7\u00e3o de privil\u00e9gios.<\/p>\n

Concordamos com a orienta\u00e7\u00e3o da OWASP para prevenir a exposi\u00e7\u00e3o excessiva de dados: defina e imponha os dados retornados por cada m\u00e9todo de API por meio de um mecanismo de valida\u00e7\u00e3o de resposta baseado em esquema ou contrato.<\/p>\n<\/div>\n

\"\"<\/p>\n

\n

Vulnerabilidade n\u00ba 4: Quebra de Autoriza\u00e7\u00e3o em N\u00edvel de Fun\u00e7\u00e3o (Broken Function Level Authorization – BFLA)<\/b><\/h3>\n

A maioria dos incidentes de Quebra de Autoriza\u00e7\u00e3o em N\u00edvel de Fun\u00e7\u00e3o (BFLA) que cobrimos este ano foram erros b\u00e1sicos no controle de acesso baseado em fun\u00e7\u00f5es (RBAC) no n\u00edvel de opera\u00e7\u00e3o da API. Ocorreram quando fun\u00e7\u00f5es destinadas a usu\u00e1rios privilegiados estavam acess\u00edveis a fun\u00e7\u00f5es com menos permiss\u00f5es.<\/p>\n

Um exemplo veio de um relat\u00f3rio de agosto sobre a plataforma de Gerenciamento de Contas Privilegiadas da Securden<\/a>, onde uma fun\u00e7\u00e3o sens\u00edvel de backup de senhas estava dispon\u00edvel para usu\u00e1rios que n\u00e3o eram administradores. Em nossa edi\u00e7\u00e3o de mar\u00e7o, destacamos problemas semelhantes na plataforma Zitadel, onde 12 endpoints de API de n\u00edvel administrativo estavam abertos a usu\u00e1rios n\u00e3o administradores.<\/p>\n

Outros casos comuns de BFLA envolveram usu\u00e1rios capazes de executar opera\u00e7\u00f5es espec\u00edficas de API, como PUT ou DELETE, que deveriam ter sido restritas a administradores.<\/p>\n

Vulnerabilidade n\u00ba 5: Falha de Autentica\u00e7\u00e3o (Broken Authentication)<\/b><\/h3>\n

E, finalmente, em quinto lugar na nossa lista das vulnerabilidades de API mais comuns deste ano, est\u00e1 a Falha de Autentica\u00e7\u00e3o. Isso descreve falhas em que o pr\u00f3prio mecanismo de autentica\u00e7\u00e3o \u00e9 mal projetado ou implementado, permitindo que uma API aceite requisi\u00e7\u00f5es sem verificar adequadamente o usu\u00e1rio.<\/p>\n

Em maio, cobrimos um problema em um aplicativo m\u00f3vel da Volkswagen, onde uma API de valida\u00e7\u00e3o de senha de uso \u00fanico (OTP) estava vulner\u00e1vel a ataques de for\u00e7a bruta. Em setembro, a FlowiseAI, uma plataforma para cria\u00e7\u00e3o de agentes de IA, divulgou uma falha em seu processo de redefini\u00e7\u00e3o de senha. A API vulner\u00e1vel retornava o token de redefini\u00e7\u00e3o diretamente na resposta, em vez de seguir pr\u00e1ticas seguras para enviar o token ao e-mail cadastrado.<\/p>\n

Separamos intencionalmente a Aus\u00eancia de Autentica\u00e7\u00e3o<\/i> da Falha de Autentica\u00e7\u00e3o<\/i> para destacar com que frequ\u00eancia as equipes de API falham completamente em impor a autentica\u00e7\u00e3o. Embora os desafios em geral tamb\u00e9m continuem proeminentes nos controles de autentica\u00e7\u00e3o de API.<\/p>\n<\/div>\n

Artigo original: https:\/\/apisecurity.io\/issue-286-the-apisecurity-io-top-5-api-vulnerabilities-in-2025\/<\/a><\/p>\n

Leia tamb\u00e9m: https:\/\/aiqon.com.br\/blog\/fim-do-suporte-agpm-controle-mudancas-group-policy-intune\/<\/a><\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

Vulnerabilidade n\u00ba 1: Aus\u00eancia de Autentica\u00e7\u00e3o (Missing Authentication) Nossa vulnerabilidade de API mais frequente este ano foi a Aus\u00eancia de Autentica\u00e7\u00e3o. Tratam-se de APIs que n\u00e3o exigem autentica\u00e7\u00e3o para opera\u00e7\u00f5es sens\u00edveis, permitindo que usu\u00e1rios an\u00f4nimos acessem dados ou executem a\u00e7\u00f5es que deveriam ser restritas a usu\u00e1rios autenticados. Em 2024, essa foi a nossa quinta vulnerabilidade […]<\/p>\n","protected":false},"author":4,"featured_media":4712,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":false,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_feature_clip_id":0,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_post_was_ever_published":false},"categories":[113,1],"tags":[148],"class_list":["post-4702","post","type-post","status-publish","format-standard","has-post-thumbnail","category-cybersecurity","category-uncategorized","tag-api","czr-hentry"],"jetpack_sharing_enabled":true,"jetpack_featured_media_url":"https:\/\/aiqon.com.br\/blog\/wp-content\/uploads\/2026\/10\/blog-1.png","_links":{"self":[{"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/posts\/4702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/comments?post=4702"}],"version-history":[{"count":3,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/posts\/4702\/revisions"}],"predecessor-version":[{"id":4714,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/posts\/4702\/revisions\/4714"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/media\/4712"}],"wp:attachment":[{"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/media?parent=4702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/categories?post=4702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/aiqon.com.br\/blog\/wp-json\/wp\/v2\/tags?post=4702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}